GitHub Actions完全セキュリティチェックリスト

【なぜ重要か】 GitHub Actionsの設定ミスがサプライチェーン攻撃の標的となり、悪意のあるパッケージがnpmやPyPIに公開されるケースが急増しています。オープンソースプロジェクトのデフォルトCI/CDシステムであるため、一度侵害されると下流の開発者すべてに被害が波及する危険性があります。

【ポイント】

• pull_request_targetをパブリックリポジトリで使用しない：フォークPRからでもベースリポジトリのシークレットにアクセス可能となり、攻撃者がPRを作成するだけで認証情報を窃取できる
• サードパーティアクションを完全なコミットSHAでピン留めする：タグやブランチは可変であり、攻撃者がアカウント侵害後にタグを悪意のあるコミットに変更する可能性がある
• github.*の値をrun:ステップに直接補間しない：ブランチ名やPRタイトルなどのユーザー制御可能な値をシェルコマンドに直接挿入すると、スクリプトインジェクション攻撃が可能になる
• GITHUB_TOKENのデフォルト権限を読み取り専用に設定し、クラウド認証情報にはOIDCを使用する
• アーティファクトを/tmpなどの一時ディレクトリに抽出し、ワークフローファイルの上書きを防ぐ

【まとめ】 GitHub Actionsの設計上の利便性がセキュリティリスクを生んでいるため、これらのベストプラクティスを実装してワークフローを強化し、攻撃者にとって困難なターゲットにすることが重要です。