Safe-Install: NPM-Pakete sicherer installieren mit vertrauenswürdigen Abhängigkeiten

Die Zahl der Supply-Chain-Angriffe über npm-Paketmanager steigt weiter. Ein neues Open-Source-Tool namens Safe-Install will Entwicklern nun mehr Kontrolle über potenziell gefährliche Installationsskripte und Unterabhängigkeiten geben. Der NPM-Paketmanager selbst bietet solche Schutzmechanismen bisher nicht standardmäßig.

Das Projekt entstand als Reaktion auf wiederkehrende Sicherheitslücken, bei denen bösartiger Code über npm-Pakete in Anwendungen eingeschleust wurde. Safe-Install setzt genau dort an, wo npm bisher keine ausreichenden Schutzmechanismen bereitstellt.

Warum Safe-Install eine Lösung für Entwickler ist

Safe-Install führt zwei zentrale Sicherheitsfunktionen ein, die in npm fehlen. Erstens lässt sich damit der Ausführung von Installationsskripten in Paketen von vornherein blockieren – es sei denn, die jeweilige Abhängigkeit steht auf einer expliziten Whitelist. Diese Herangehensweise erinnert an die vertrauenswürdigen Abhängigkeiten von Bun, einem alternativen JavaScript-Runtime-Tool.

Zweitens unterstützt Safe-Install die Filterung verdächtiger Unterabhängigkeiten. Hier orientiert sich das Tool an pnpm, einem performanten Paketmanager, der mit der Option blockExoticSubdeps potenziell gefährliche transitive Abhängigkeiten blockiert. Entwickler können so verhindern, dass unkontrollierte Pakete mit Schadcode in ihre Projekte gelangen.

Installation und Konfiguration im Überblick

Die Einrichtung von Safe-Install erfolgt in wenigen Schritten. Zunächst wird das Paket über den NPM-Befehl installiert:

npm install -g @gkiely/safe-install

Anschließend lässt sich das Tool über eine Konfigurationsdatei steuern. In dieser werden die erlaubten Pakete mit Installationsskripten definiert, während alle anderen Skripte standardmäßig ignoriert werden. Ein Beispiel für eine solche Konfiguration:

{
  "allowedScripts": ["@angular/cli", "webpack-cli"],
  "blockExoticSubdeps": true
}

Die Datei kann entweder als .safe-install.json im Projektverzeichnis oder global im Benutzerverzeichnis abgelegt werden. Safe-Install liest diese Einstellungen automatisch beim nächsten Paketinstallationsvorgang aus.

Praktische Anwendung: Wann sich Safe-Install lohnt

Für Teams, die regelmäßig externe Abhängigkeiten nutzen, ist Safe-Install besonders wertvoll. Besonders in folgenden Szenarien kann das Tool einen Unterschied machen:

• Sicherheitskritische Projekte: Bei Anwendungen mit hohem Schutzbedarf wie Bankensoftware oder Gesundheits-Apps sollte der Einsatz von Safe-Install Standard sein.
• Unternehmen mit Compliance-Anforderungen: Organisationen, die strenge Sicherheitsrichtlinien einhalten müssen, profitieren von der klaren Kontrolle über Abhängigkeiten.
• Open-Source-Projekte mit vielen Contributoren: Hier reduziert Safe-Install das Risiko, dass unbemerkt schädliche Pakete eingeschleust werden.

Ein weiterer Vorteil liegt in der einfachen Integration. Da Safe-Install als npm-Paket vorliegt, lässt es sich in bestehende Workflows nahtlos einbinden – ohne dass zusätzliche Tools oder Umgebungen erforderlich sind.

Ausblick: Wird npm nachziehen?

Bisher hat npm keine Anzeichen gezeigt, ähnliche Schutzmechanismen in den Standard-Installationsprozess zu integrieren. Während die NPM-Community auf Sicherheitsverbesserungen drängt, bleibt Safe-Install eine pragmatische Lösung für Entwickler, die heute mehr Kontrolle brauchen. Das Projekt könnte damit zum Vorbild für zukünftige npm-Erweiterungen werden – oder sogar als Inspiration für andere Paketmanager dienen.

Die Zukunft des sicheren Paketmanagements wird sich vermutlich an Lösungen wie Safe-Install orientieren. Solange npm hier keine native Unterstützung anbietet, bleiben Tools wie dieses die erste Wahl für Entwickler, die ihre Projekte vor Supply-Chain-Angriffen schützen wollen.