GitHubは7月31日（現地時間）、npmのグラニュラーアクセストークン（GATs）で2FAのバイパス設定を行っている場合、アカウントや組織、パッケージの管理に関わる操作を実行不可としたと発表した。
これにはトークンの作成・削除や、パッケージのアクセス権・管理者・信頼された公開設定の変更、組織やチームのメンバーシップとパッケージ権限管理などが含まれる。これにより、漏洩した2FAバイパストークンによるアカウント乗っ取りや新規トークン生成、不正な管理者追加といった重大なリスク面が閉じられる。
今回の措置はnpmのグラニュラーアクセストークンに限定され、GitHub個人アクセストークンやGitHub Appトークン、ActionsのGITHUB_TOKENには影響しない。今後の対策として、該当操作時はWebやCLIを通じて2FAチャレンジをインタラクティブに行う必要がある。
さらに、2027年1月を目標に2FAバイパストークンによる直接公開機能も削除予定で、公開作業は信頼された公開（OIDC）またはステージングの後、2FAでの承認が必要となる。npmは7月8日に段階的な廃止方針を公表しており、今後もセキュリティの強化を進める。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
