【ITニュース解説】Pnpm has a new setting to stave off supply chain attacks

Node.jsアプリケーション開発に欠かせないツールとして、Pnpmというパッケージマネージャーが存在する。Pnpmは、npmやYarnといった他の主要なパッケージマネージャーと同様に、プロジェクトが必要とする外部のソフトウェア部品（パッケージやライブラリ）を管理し、インストールする役割を担っている。しかし、Pnpmは効率性とディスク容量の節約という点でユニークな特徴を持っている。それは、各パッケージをシステム上の共通の場所に一度だけインストールし、各プロジェクトからは「ハードリンク」や「シンボリックリンク」と呼ばれる特別なファイルを使ってその共通の場所を参照する仕組みを採用している点だ。これにより、複数のプロジェクトで同じバージョンのパッケージが使われても、ディスク上には一つしか実体が存在しないため、ディスク容量を大幅に節約できるとともに、パッケージのインストール速度も向上するという大きなメリットがある。

しかし、この効率的なリンク方式が、特定のセキュリティリスク、特に近年注目されている「サプライチェーン攻撃」に対して潜在的な脆弱性をもたらす可能性が指摘されてきた。サプライチェーン攻撃とは、ソフトウェア開発の過程で利用される外部のコンポーネント（パッケージやライブラリ）が悪意のあるコードを含んでおり、それが最終的なアプリケーションに組み込まれてしまうことで、ユーザーやシステムに被害をもたらす攻撃手法を指す。まるで商品の供給網（サプライチェーン）に異物が混入するように、開発プロセス全体が標的となることからこの名前が付けられている。

Pnpmのリンク方式が抱えるリスクは、「Symlink following attacks」（シンボリックリンク追跡攻撃）と呼ばれる一種の攻撃シナリオに関係している。通常のPnpmの動作では、プロジェクト内の node_modules フォルダにあるパッケージは、共通ストアにある実際のパッケージへのシンボリックリンクやハードリンクとして存在する。悪意のあるパッケージがこのリンクの仕組みを悪用すると、本来アクセスが許されていないシステム上の他のファイルやディレクトリにアクセスできる可能性があるのだ。例えば、悪意のあるパッケージが、自分の管理下にあるリンクを、システム上の重要な設定ファイルや認証情報が格納されている場所に巧妙にすり替える。そして、そのリンクを介してファイルにアクセスしようとすると、本来は到達できないはずの機密情報が読み取られたり、書き換えられたりする危険性がある。これは、開発環境や本番環境で予期せぬ情報漏洩やシステムの乗っ取りにつながる可能性があるため、看過できない問題である。

このような潜在的なリスクに対処するため、Pnpmはバージョン10.16で新しい設定 package-import-method=auto-copy を導入した。この設定は、Pnpmのパッケージインストール動作を根本的に変更するもので、特にセキュリティリスクの高い特定のパッケージに対して、従来のリンク方式ではなく、「コピー」方式でパッケージをインストールすることを強制する。具体的には、実行可能なプログラム（ bin フィールドを持つパッケージ）など、悪用された場合にシステムの広い範囲に影響を及ぼす可能性のあるパッケージについては、共通ストアからプロジェクトの node_modules フォルダへファイルを完全にコピーする。これにより、悪意のあるパッケージがリンクを操作して、プロジェクトの外部にあるシステム上のファイルにアクセスしようとする試みを防ぐことができる。パッケージが完全にコピーされた状態であれば、そのパッケージがたとえ悪意のあるものであったとしても、プロジェクトフォルダ内で閉じられた範囲でしか動作できず、外部のファイルシステムへのアクセス経路が遮断されるため、シンボリックリンク追跡攻撃のリスクを大幅に軽減できる。

この新しい設定の導入は、Pnpmのセキュリティを強化する上で重要な一歩となる。システムエンジニアを目指す初心者にとって、このようなセキュリティ機能は、安全なシステムを構築するために欠かせない知識となるだろう。しかし、この設定にはトレードオフも存在する。パッケージをリンクではなくコピーすることで、Pnpmが本来持っていた「ディスク容量の節約」や「インストール速度の向上」といったメリットが一部失われる可能性がある。コピーされたパッケージは、共通ストアとは別に各プロジェクトの node_modules フォルダに実体を持つため、ディスク使用量が増加し、インストールに要する時間もわずかながら長くなることが考えられる。これは、セキュリティ強化のために、Pnpmの効率性という特性の一部を犠牲にする選択だと言える。

他の主要なパッケージマネージャーであるnpmやYarnは、歴史的にデフォルトでパッケージをプロジェクトフォルダ内に直接「コピー」する方式を採用してきた。そのため、Pnpmが今回対応したようなリンク悪用型のサプライチェーン攻撃のリスクは、これらのマネージャーではデフォルトでは低いと言える。Pnpmの新しい設定は、セキュリティの観点から見て、npmやYarnのデフォルト動作に近づくための措置であり、Pnpmの強みである効率性とセキュリティのバランスを再考したものだ。

システムエンジニアとして、ソフトウェア開発を進める際には、常にセキュリティとパフォーマンス、そして利便性のバランスを考慮する必要がある。Pnpmの新しい設定は、開発者が自身のプロジェクトのセキュリティ要件に応じて、より安全な選択肢を選べるようにするものだ。特に、信頼性の低い外部パッケージを多く利用するプロジェクトや、高いセキュリティが求められるシステムを開発する際には、このような設定を積極的に利用し、潜在的なサプライチェーン攻撃のリスクを最小限に抑えることが重要である。これにより、より堅牢で安全なアプリケーション開発環境を構築できるようになる。