Aikido Safe Chain

✅ Blocca il malware sui laptop degli sviluppatori e nelle pipeline CI/CD
✅ Supporta npm e PyPI, altri package manager in arrivo
✅ Blocca i pacchetti più recenti di 48 ore senza interrompere la tua build
✅ Senza token, gratuito, nessun dato di build condiviso

Hai bisogno di una protezione che vada oltre npm e PyPI?

Aikido Device Protection si basa su Safe Chain, estendendo la sicurezza di pacchetti ed estensioni a più ecosistemi: npm, PyPI, VS Code, Open VSX - (Cursor, Windsurf, Kiro, Vs Codium, ...), Maven, NuGet, estensioni Chrome, Go, Skills.sh AI skills, Ruby, Rust e altri ancora.

Ottieni una gestione centralizzata delle policy, flussi di lavoro di richiesta e approvazione, e visibilità su ogni workstation degli sviluppatori nella tua organizzazione. Basato sullo stesso feed Aikido Intel. Distribuiscilo manualmente o gestiscilo tramite il tuo strumento MDM (Jamf, Fleet o Iru).

Aikido Safe Chain supporta i seguenti package manager:

📦 npm
📦 npx
📦 yarn
📦 pnpm
📦 pnpx
📦 rush
📦 rushx
📦 bun
📦 bunx
📦 pip
📦 pip3
📦 uv
📦 poetry
📦 uvx
📦 pipx
📦 pdm

Utilizzo

Aikido Safe Chain demo

Installazione

Installare Aikido Safe Chain è semplice con lo script di installazione.

Unix/Linux/macOS

curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.26/install-safe-chain.sh -o /tmp/install-safe-chain.sh \
  && echo "9e4af7107f06d9c0d758cb08fb36804c2af88e24972f3a9d3f8c2bd0ca002adf  /tmp/install-safe-chain.sh" | sha256sum -c - \
  && sh /tmp/install-safe-chain.sh \
  && rm /tmp/install-safe-chain.sh

Windows (PowerShell)

$installer = Join-Path $env:TEMP "install-safe-chain.ps1"
Invoke-WebRequest "https://github.com/AikidoSec/safe-chain/releases/download/1.5.26/install-safe-chain.ps1" -OutFile $installer -UseBasicParsing
$expectedHash = "D44601889FB241D8775C01CA6C45768548839F7B5A3A017BE4633D16364A0AE0"
if ((Get-FileHash $installer -Algorithm SHA256).Hash -ne $expectedHash) {
    Remove-Item $installer -ErrorAction SilentlyContinue
    throw "Checksum verification failed for install-safe-chain.ps1"
}
& $installer
Remove-Item $installer

I comandi di installazione sopra fanno sempre riferimento a una release specifica. Per installare una versione diversa, sostituisci la versione con il numero di versione desiderato. Tutte le versioni disponibili sono nella pagina delle release.

Integrità del download

Gli script di installazione sono serviti da un URL di release versionato (releases/download/1.5.26/...). Le release di GitHub sono immutabili — una volta che un artefatto è pubblicato a un URL versionato non può essere modificato o sostituito, quindi il file scaricato è garantito essere esattamente quello rilasciato.

Verifica dell'installazione

❗Riavvia il terminale per iniziare a utilizzare Aikido Safe Chain.
- Questo passaggio è cruciale poiché garantisce che gli alias della shell per npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, poetry, uv, uvx, pipx e pdm vengano caricati correttamente. Se non riavvii il terminale, gli alias non saranno disponibili.
Verifica l'installazione eseguendo il comando di verifica:
```
npm safe-chain-verify
pnpm safe-chain-verify
pip safe-chain-verify
uv safe-chain-verify

# Any other supported package manager: {packagemanager} safe-chain-verify
```
- L'output dovrebbe mostrare "OK: Safe-chain works!" confermando che Aikido Safe Chain è installato e funzionante correttamente.
(Opzionale) Testare il blocco del malware tentando di installare un pacchetto di test:

Per JavaScript/Node.js:
```
npm install safe-chain-test
```
Per Python:
```
pip3 install safe-chain-pi-test
```
- L'output dovrebbe mostrare che Aikido Safe Chain sta bloccando l'installazione di questi pacchetti di test poiché sono contrassegnati come malware.

Quando si eseguono i comandi npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, uv, uvx, poetry, pipx e pdm, Aikido Safe Chain controllerà automaticamente la presenza di malware nei pacchetti che stai tentando di installare. Intercetta inoltre le invocazioni dei moduli Python per pip quando disponibile (ad es., python -m pip install ..., python3 -m pip download ...). Se viene rilevato del malware, ti verrà chiesto di uscire dal comando.

Puoi verificare la versione installata eseguendo:

safe-chain --version

Come funziona

Blocco del malware

Aikido Safe Chain funziona eseguendo un server proxy leggero che intercetta i download dei pacchetti dal registry npm e da PyPI. Quando esegui i comandi npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, uv, uvx, poetry, pipx o pdm, tutti i download dei pacchetti vengono instradati attraverso questo proxy locale, che verifica i pacchetti in tempo reale rispetto a Aikido Intel - Open Sources Threat Intelligence. Se viene rilevato malware in qualsiasi pacchetto (incluse le dipendenze profonde), il proxy blocca il download prima che il codice malevolo raggiunga la tua macchina.

Età minima del pacchetto

Safe Chain applica controlli sull'età minima dei pacchetti agli ecosistemi supportati.

L'applicazione attuale varia a seconda dell'ecosistema:

package manager basati su npm:
- durante la normale risoluzione dei pacchetti, Safe Chain sopprime le versioni più recenti dell'età minima configurata dai metadati del pacchetto restituiti dal registry
- per le richieste dirette di download di pacchetti che aggirano quel flusso di metadati, Safe Chain può bloccare la richiesta stessa utilizzando una lista in cache dei pacchetti appena rilasciati
package manager Python:
- durante la risoluzione dei pacchetti, Safe Chain sopprime i file e le release troppo recenti dalle risposte dei metadati di PyPI
- per le richieste dirette di download di pacchetti che aggirano quel flusso di metadati, Safe Chain può bloccare la richiesta stessa utilizzando una lista in cache dei pacchetti appena rilasciati

Per impostazione predefinita, l'età minima del pacchetto è di 48 ore. Questo fornisce un ulteriore livello di sicurezza durante il periodo critico in cui i pacchetti appena pubblicati sono più vulnerabili a contenere minacce non rilevate. Puoi configurare questa soglia o aggirare completamente questa protezione - consulta la sezione Minimum Package Age Configuration qui sotto.

Per le correzioni urgenti di CVE, Aikido conferma che la release della patch è priva di malware e Safe Chain la esenta dal controllo dell'età minima, così non rimani esposto alla vulnerabilità che corregge mentre attendi la scadenza della finestra.

safe-chain v1.5.13