Всем привет!
Safe Chain – open-source инструмент от команды Aikido Security, который может быть использован для защиты цепочки поставки ПО.
Если просто, то он блокирует загрузку пакета, если есть подозрение о том, что он может быть вредоносным.
Если чуть более развёрнуто, то Safe Chain представляет из себя proxy, который перехватывает запрос на скачивание пакета.
Далее происходит проверка пакета с использованием Aikido Intel – Open Source Threat Intelligence и, если что-то было найдено, скачивание блокируется.
На текущий момент утилита работает с
npm и PyPi. Реализована поддержка следующих пакетных менеджеров: npm, npx, yarn, pnpm, pnpx, bun, bunx, pip, pip3, uv, poetry, pipx. В планах у ребят реализовать поддержку большего количество языков.
Больше про Safe Chain, включая сценарии использования, можно прочесть в GitHub-репозитории проекта.