aikidosec/safe-chainЗащититесь от вредоносного кода, устанавливаемого через npm, yarn, pnpm, npx, pnpx, pip, uv и poetry, с помощью Aikido Safe Chain. Бесплатно, токены не требуются.
Aikido Device Protection расширяет Safe Chain, обеспечивая безопасность пакетов и расширений в большем числе экосистем: npm, PyPI, VS Code, Open VSX — (Cursor, Windsurf, Kiro, Vs Codium, ...), Maven, NuGet, Chrome extensions, Go, Skills.sh AI skills, Ruby, Rust и других.
Получите централизованное управление политиками, рабочие процессы запроса и утверждения, а также видимость всех рабочих станций разработчиков в вашей организации. Работает на том же канале данных Aikido Intel. Разверните его вручную или управляйте им через ваш MDM-инструмент (Jamf, Fleet или Iru).
Aikido Safe Chain поддерживает следующие менеджеры пакетов:
Установить Aikido Safe Chain легко с помощью установочного скрипта.
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
&& echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
&& sh /tmp/install-safe-chain.sh
&& rm /tmp/install-safe-chain.sh
### Windows (PowerShell)```powershell
$installer = Join-Path $env:TEMP "install-safe-chain.ps1"
Invoke-WebRequest "https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.ps1" -OutFile $installer -UseBasicParsing
$expectedHash = "5FC22EEF74814BEF6828AA07C0EAEC79598F343F98B94A4ACAB823769AD56DA1"
if ((Get-FileHash $installer -Algorithm SHA256).Hash -ne $expectedHash) {
Remove-Item $installer -ErrorAction SilentlyContinue
throw "Checksum verification failed for install-safe-chain.ps1"
}
& $installer
Remove-Item $installer
Приведённые выше команды установки всегда ссылаются на конкретный релиз. Чтобы установить другую версию, замените номер версии на нужный. Все доступные версии находятся на странице релизов.
Скрипты установки обслуживаются через URL релиза с указанием версии (releases/download/1.5.15/...). Релизы GitHub неизменяемы — после публикации артефакта по URL с версией его нельзя изменить или заменить, поэтому загружаемый файл гарантированно будет именно тем, что было выпущено.
❗Перезапустите терминал, чтобы начать использовать Aikido Safe Chain.
Проверьте установку, выполнив команду проверки: ```shell npm safe-chain-verify pnpm safe-chain-verify pip safe-chain-verify uv safe-chain-verify
(Необязательно) Проверьте блокировку вредоносного ПО, попытавшись установить тестовый пакет:
Для JavaScript/Node.js: ```shell npm install safe-chain-test
Для Python: ```shell pip3 install safe-chain-pi-test
- В выводе должно быть видно, что Aikido Safe Chain блокирует установку этих тестовых пакетов, так как они помечены как вредоносные.
При выполнении команд `npm`, `npx`, `yarn`, `pnpm`, `pnpx`, `rush`, `rushx`, `bun`, `bunx`, `pip`, `pip3`, `uv`, `uvx`, `poetry`, `pipx` и `pdm` Aikido Safe Chain автоматически проверяет пакеты, которые вы пытаетесь установить, на наличие вредоносного ПО. Он также перехватывает вызовы модулей Python для pip, когда это доступно (например, `python -m pip install ...`, `python3 -m pip download ...`). Если вредоносное ПО обнаружено, он предложит вам выйти из команды.
Вы можете проверить установленную версию, выполнив:```shell
safe-chain --version
Aikido Safe Chain работает, запуская легковесный прокси-сервер, который перехватывает загрузки пакетов из реестра npm и PyPI. Когда вы выполняете команды npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx, pip, pip3, uv, uvx, poetry, pipx или pdm, все загрузки пакетов маршрутизируются через этот локальный прокси, который проверяет пакеты в реальном времени по Aikido Intel - Open Sources Threat Intelligence. Если в каком-либо пакете (включая глубокие зависимости) обнаружено вредоносное ПО, прокси блокирует загрузку до того, как вредоносный код достигнет вашей машины.
Safe Chain применяет проверки минимального возраста пакета для поддерживаемых экосистем.
Текущие меры контроля различаются в зависимости от экосистемы:
По умолчанию минимальный возраст пакета составляет 48 часов. Это обеспечивает дополнительный уровень безопасности в критический период, когда недавно опубликованные пакеты наиболее уязвимы для содержания необнаруженных угроз. Вы можете настроить этот порог или полностью обойти эту защиту — см. раздел Конфигурация минимального возраста пакета ниже.
Aikido Safe Chain интегрируется с вашей оболочкой, чтобы обеспечить бесшовный опыт при использовании npm, npx, yarn, pnpm, pnpx, rush, rushx, bun, bunx и менеджеров пакетов Python (pip, uv, uvx, poetry, pipx, pdm). Он настраивает алиасы для этих команд, чтобы они были обёрнуты командами Aikido Safe Chain, которые управляют прокси-сервером перед выполнением исходных команд. В настоящее время мы поддерживаем:
Дополнительную информацию об интеграции с оболочкой можно найти в документации по интеграции с оболочкой.
Чтобы удалить Aikido Safe Chain, используйте наш однострочный деинсталлятор:
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/uninstall-safe-chain.sh | sh
### Windows (PowerShell)```powershell
iex (iwr "https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/uninstall-safe-chain.ps1" -UseBasicParsing)
❗Перезапустите терминал после удаления, чтобы убедиться, что все алиасы удалены.
Вы можете управлять выводом Aikido Safe Chain с помощью флага --safe-chain-logging или переменной окружения SAFE_CHAIN_LOGGING.
Вы можете задать уровень логирования через несколько источников (в порядке приоритета):
Аргумент CLI (наивысший приоритет):
--safe-chain-logging=silent — Подавляет весь вывод Aikido Safe Chain, кроме случаев блокировки вредоносного ПО. Вывод менеджера пакетов записывается в stdout как обычно, а Safe Chain выводит только короткое сообщение, если он заблокировал вредоносное ПО и завершает процесс.
npm install express --safe-chain-logging=silent
--safe-chain-logging=verbose — Включает подробный диагностический вывод Aikido Safe Chain. Полезно для устранения неполадок или понимания того, что Safe Chain делает за кулисами.
npm install express --safe-chain-logging=verbose
Переменная окружения: ```shell export SAFE_CHAIN_LOGGING=verbose npm install express
Допустимые значения: silent, normal, verbose
Это полезно для установки уровня журналирования по умолчанию для всех команд менеджера пакетов в вашей терминальной сессии или в окружении CI/CD.
Вы можете дублировать вывод Aikido Safe Chain в файл журнала с помощью флага --safe-chain-log-file или переменной окружения SAFE_CHAIN_LOG_FILE. Журналирование в файл по умолчанию отключено и включается, когда задан путь. Формат файла (--safe-chain-log-file-format) и уровень подробности (--safe-chain-log-file-verbosity) управляются независимо от вывода в терминал.
Устанавливаются любым из следующих способов (в порядке приоритета):
~/.safe-chain/config.json): ```json
{
"logFile": "~/safe-chain.log",
"logFileFormat": "plain",
"logFileVerbosity": "normal"
}
logFileFormat — json (по умолчанию) или plain.
logFileVerbosity — silent, normal или verbose (по умолчанию). Независимо от --safe-chain-logging.
Вы можете настроить, как долго пакеты должны существовать, прежде чем Safe Chain разрешит их установку. По умолчанию пакеты должны быть старше 48 часов, прежде чем их можно будет установить.
Для менеджеров пакетов на основе npm эта проверка в настоящее время имеет два режима применения:
Для менеджеров пакетов Python эта проверка в настоящее время имеет два режима применения:
Вы можете задать минимальный возраст пакета через несколько источников (в порядке приоритета):
~/.safe-chain/config.json): ```json
{
"minimumPackageAgeHours": 48
}
Исключите доверенные пакеты из фильтрации по минимальному возрасту с помощью переменной окружения или файла конфигурации (оба объединяются). Используйте @scope/*, чтобы доверять всем пакетам из организации:```shell
export SAFE_CHAIN_MINIMUM_PACKAGE_AGE_EXCLUSIONS="@aikidosec/*"
<empty>```json
{
"npm": {
"minimumPackageAgeExclusions": ["@aikidosec/*"]
},
"pip": {
"minimumPackageAgeExclusions": ["requests"]
}
}
Настройте Safe Chain для сканирования пакетов из пользовательских или частных реестров.
Поддерживаемые экосистемы:
Вы можете задать пользовательские реестры через переменную окружения или файл конфигурации. Оба источника объединяются.
~/.safe-chain/config.json): ```json
{
"npm": {
"customRegistries": ["npm.company.com", "registry.internal.net"]
},
"pip": {
"customRegistries": ["pip.company.com", "registry.internal.net"]
}
}
Если вы полагаетесь на файл pip.conf для конфигурации pip, вы должны явно указать на него pip через переменную окружения PIP_CONFIG_FILE, чтобы Safe Chain мог его объединить.
Safe Chain запускает pip за своим MITM-прокси и записывает временный файл конфигурации pip для внедрения своего сертификата и настроек прокси. Когда задан PIP_CONFIG_FILE, Safe Chain объединяет свои настройки с копией вашего файла (ваш исходный файл никогда не изменяется), поэтому ваши index-url, учётные данные и другие параметры сохраняются. Когда PIP_CONFIG_FILE не задан, пользовательская конфигурация pip (например, ~/.config/pip/pip.conf) может быть переопределена временным файлом Safe Chain, и ваши настройки не будут учтены.
Настройте Safe Chain для загрузки баз данных вредоносных программ и списков новых пакетов с пользовательского зеркального URL. Это позволяет размещать собственную копию базы данных вредоносных программ Aikido.
Вы можете задать базовый URL списка вредоносных программ через несколько источников (в порядке приоритета):
~/.safe-chain/config.json): ```json
{
"malwareListBaseUrl": "https://your-mirror.com"
}
Базовый URL должен указывать на сервер, зеркалирующий структуру https://malware-list.aikido.dev/, включая следующие пути:
/malware_predictions.json (база данных вредоносных программ экосистемы JavaScript)/malware_pypi.json (база данных вредоносных программ экосистемы Python)/releases/npm.json (список новых пакетов JavaScript)/releases/pypi.json (список новых пакетов Python)Помимо файла конфигурации в домашнем каталоге (~/.safe-chain/config.json), Safe Chain поддерживает файл конфигурации проекта, чтобы настройки можно было хранить в репозитории и использовать совместно в команде, а не настраивать на каждой машине отдельно.
Добавьте секцию safe-chain: в файл .aikido в корне вашего репозитория (этот же файл используется другими инструментами Aikido; Safe Chain читает только собственную секцию safe-chain: и игнорирует остальное). Когда она найдена, её настройки объединяются поверх вашего файла конфигурации в домашнем каталоге: значения, заданные в конфигурации проекта, имеют приоритет, а массивы (например, customRegistries) объединяются из обоих файлов, а не заменяют друг друга.
Из файла конфигурации проекта можно задать только следующие настройки:```yaml safe-chain: minimumPackageAgeHours: 48 npm: customRegistries: - npm.company.com minimumPackageAgeExclusions: - "@aikidosec/*" pip: customRegistries: - pip.company.com minimumPackageAgeExclusions: - requests
Параметры, такие как `scanTimeout`, `malwareListBaseUrl` и опции `logFile*`, не могут быть заданы из файла конфигурации проекта — они могут быть указаны только в конфигурации из домашнего каталога, через аргументы CLI или переменные окружения.
## Пользовательский каталог установки
По умолчанию Safe Chain устанавливает себя в `~/.safe-chain`. Вы можете изменить это, передав установщику явный каталог установки. Это полезно для системных установок (например, внутри Docker-образа) или когда нужно избежать конфликтов с другими инструментами.
При заданном каталоге все данные Safe Chain (бинарные файлы, shims, скрипты, конфигурация) размещаются в этом пользовательском каталоге вместо `~/.safe-chain`.
### Unix/Linux/macOS```shell
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh \
&& echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c - \
&& sh /tmp/install-safe-chain.sh --install-dir /usr/local/.safe-chain \
&& rm /tmp/install-safe-chain.sh
$installer = Join-Path $env:TEMP "install-safe-chain.ps1" Invoke-WebRequest "https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.ps1" -OutFile $installer -UseBasicParsing $expectedHash = "5FC22EEF74814BEF6828AA07C0EAEC79598F343F98B94A4ACAB823769AD56DA1" if ((Get-FileHash $installer -Algorithm SHA256).Hash -ne $expectedHash) { Remove-Item $installer -ErrorAction SilentlyContinue throw "Checksum verification failed for install-safe-chain.ps1" } & $installer -InstallDir 'C:\ProgramData\safe-chain' Remove-Item $installer
# Использование в CI/CD
Вы можете защитить свои конвейеры CI/CD от вредоносных пакетов, интегрировав Aikido Safe Chain в процесс сборки. Это гарантирует, что все пакеты, устанавливаемые во время автоматических сборок, проверяются на вредоносное ПО перед установкой.
## Установка для CI/CD
Используйте флаг `--ci`, чтобы автоматически настроить Aikido Safe Chain для сред CI/CD. Это создаёт исполняемые шимы в PATH вместо алиасов оболочки.
### Unix/Linux/macOS (GitHub Actions, Azure Pipelines и т. д.)```shell
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh \
&& echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c - \
&& sh /tmp/install-safe-chain.sh --ci \
&& rm /tmp/install-safe-chain.sh
$installer = Join-Path $env:TEMP "install-safe-chain.ps1" Invoke-WebRequest "https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.ps1" -OutFile $installer -UseBasicParsing $expectedHash = "5FC22EEF74814BEF6828AA07C0EAEC79598F343F98B94A4ACAB823769AD56DA1" if ((Get-FileHash $installer -Algorithm SHA256).Hash -ne $expectedHash) { Remove-Item $installer -ErrorAction SilentlyContinue throw "Checksum verification failed for install-safe-chain.ps1" } & $installer -ci Remove-Item $installer
## Поддерживаемые платформы
- ✅ **GitHub Actions**
- ✅ **Azure Pipelines**
- ✅ **CircleCI**
- ✅ **Jenkins**
- ✅ **Bitbucket Pipelines**
- ✅ **GitLab Pipelines**
## Пример GitHub Actions```yaml
- name: Setup Node.js
uses: actions/setup-node@v4
with:
node-version: "22"
cache: "npm"
- name: Install safe-chain
run: |
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
sh /tmp/install-safe-chain.sh --ci
rm /tmp/install-safe-chain.sh
- name: Install dependencies
run: npm ci
task: NodeTool@0 inputs: versionSpec: "22.x" displayName: "Install Node.js"
script: | curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c - sh /tmp/install-safe-chain.sh --ci rm /tmp/install-safe-chain.sh displayName: "Install safe-chain"
script: npm ci displayName: "Install dependencies"
## CircleCI Пример```yaml
version: 2.1
jobs:
build:
docker:
- image: cimg/node:lts
steps:
- checkout
- run: |
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
sh /tmp/install-safe-chain.sh --ci
rm /tmp/install-safe-chain.sh
- run: npm ci
workflows:
build_and_test:
jobs:
- build
Примечание: предполагается, что Node.js и npm установлены на агенте Jenkins.```groovy pipeline { agent any
environment { // Jenkins does not automatically persist PATH updates from setup-ci, // so add the shims + binary directory explicitly for all stages. // If you installed into a custom directory, replace ~/.safe-chain with that path here. PATH = "${env.HOME}/.safe-chain/shims:${env.HOME}/.safe-chain/bin:${env.PATH}" }
stages { stage('Install safe-chain') { steps { sh ''' set -euo pipefail
# Install Safe Chain for CI
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
sh /tmp/install-safe-chain.sh --ci
rm /tmp/install-safe-chain.sh
'''
}
}
stage('Install project dependencies etc...') {
steps {
sh '''
set -euo pipefail
npm ci
'''
}
}
} }
## Пример Bitbucket Pipelines```yaml
image: node:22
steps:
- step:
name: Install
script:
- |
curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
sh /tmp/install-safe-chain.sh --ci
rm /tmp/install-safe-chain.sh
- export PATH=~/.safe-chain/shims:~/.safe-chain/bin:$PATH
- npm ci
После настройки все последующие команды менеджера пакетов в вашем конвейере CI будут автоматически защищены обнаружением вредоносных программ Aikido Safe Chain.
Чтобы добавить safe-chain в пайплайны GitLab, необходимо установить его в образ, на котором выполняется пайплайн. Это можно сделать следующим образом:
Определите dockerfile для запуска вашей сборки ```dockerfile FROM node:lts
RUN curl -fsSL https://github.com/AikidoSec/safe-chain/releases/download/1.5.15/install-safe-chain.sh -o /tmp/install-safe-chain.sh
&& echo "de0565e3d6346407a604e84e639e95fea8758748063da2216bbfdca5feda5dd2 /tmp/install-safe-chain.sh" | sha256sum -c -
&& sh /tmp/install-safe-chain.sh --ci
&& rm /tmp/install-safe-chain.sh
ENV PATH="/root/.safe-chain/shims:/root/.safe-chain/bin:${PATH}"
Соберите Docker-образ в вашем CI-пайплайне ```yaml build-image: stage: build-image image: docker:latest services: - docker:dind script: - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY - docker build -t $CI_REGISTRY_IMAGE:latest . - docker push $CI_REGISTRY_IMAGE:latest
Используйте образ в вашем пайплайне: ```yaml npm-ci: stage: install image: $CI_REGISTRY_IMAGE:latest script: - npm ci
Полный конвейер для этого примера выглядит следующим образом:```yaml stages:
build-image: stage: build-image image: docker:latest services: - docker:dind script: - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY - docker build -t $CI_REGISTRY_IMAGE:latest . - docker push $CI_REGISTRY_IMAGE:latest
npm-ci: stage: install image: $CI_REGISTRY_IMAGE:latest script: - npm ci
# Устранение неполадок
Возникли проблемы? Обратитесь к [Руководству по устранению неполадок](https://github.com/aikidosec/safe-chain/blob/HEAD/docs/troubleshooting.md) за помощью с распространёнными проблемами.
# Сообщить о проблемах
Если вы столкнулись с проблемами:
1. Посетите [GitHub Issues](https://github.com/AikidoSec/safe-chain/issues)
2. Включите:
* Операционную систему и версию
* Тип и версию оболочки
* Вывод команды `safe-chain --version`
* Вывод команд проверки
* Подробные журналы (verbose-логи) неисправной команды (добавьте аргумент `--safe-chain-logging=verbose`)