🛡️ “Obsidian ใช้หลัก ‘Less is safer’ ลดความเสี่ยงจาก Supply Chain Attack — เมื่อการเขียนเองปลอดภัยกว่าการพึ่งพา” Obsidian แอปจดบันทึกยอดนิยมที่เน้นความเป็นส่วนตัวและความปลอดภัย ได้เปิดเผยแนวทางการออกแบบซอฟต์แวร์ที่มุ่งลดความเสี่ยงจาก Supply Chain Attack ซึ่งเป็นการโจมตีผ่านการแฝงโค้ดอันตรายในไลบรารีโอเพ่นซอร์สที่ถูกใช้งานอย่างแพร่หลาย โดยเฉพาะหลังเหตุการณ์โจมตี npm ครั้งใหญ่เมื่อเดือนกันยายน 2025 ที่มีแพ็กเกจยอดนิยมกว่า 27 ตัวถูกฝังมัลแวร์2 Obsidian เลือกใช้แนวทาง “Less is safer” โดยลดการพึ่งพาโค้ดจากภายนอกให้น้อยที่สุดเท่าที่จะทำได้ ฟีเจอร์หลักอย่าง Canvas และ Bases ถูกเขียนขึ้นใหม่ทั้งหมดแทนการใช้ไลบรารีสำเร็จรูป ส่วนฟังก์ชันขนาดเล็กจะถูกเขียนเองในโค้ดของทีม และโมดูลขนาดกลางจะถูก fork และเก็บไว้ในระบบหากใบอนุญาตอนุญาตให้ทำได้ สำหรับไลบรารีขนาดใหญ่ เช่น pdf.js, Mermaid และ MathJax จะใช้เวอร์ชันที่ผ่านการตรวจสอบแล้วและล็อกไว้แบบแน่นอน (version pinning) พร้อม lockfile ที่เป็นแหล่งอ้างอิงหลักในการ build เพื่อให้การติดตั้งมีความแน่นอนและตรวจสอบย้อนหลังได้ง่าย Obsidian ยังหลีกเลี่ยงการใช้ postinstall script ซึ่งเป็นช่องทางที่มัลแวร์มักใช้ในการแฝงตัว และมีระบบตรวจสอบการอัปเดตที่ละเอียด เช่น อ่าน changelog ทีละบรรทัด ตรวจสอบ sub-dependencies และรันเทสต์ทั้งอัตโนมัติและด้วยมือก่อน commit lockfile ใหม่ นอกจากนี้ยังมีการเว้นช่วงระหว่างการอัปเดตและการปล่อยเวอร์ชันจริง เพื่อให้ชุมชนและนักวิจัยด้านความปลอดภัยมีเวลาตรวจสอบ หากมีเวอร์ชันที่เป็นอันตรายถูกปล่อยออกมา จะสามารถตรวจพบได้ก่อนที่ Obsidian จะนำมาใช้งานจริง ✅ ข้อมูลสำคัญจากข่าว ➡️ Obsidian ใช้แนวทาง “Less is safer” เพื่อลดความเสี่ยงจาก Supply Chain Attack ➡️ ฟีเจอร์หลักถูกเขียนขึ้นใหม่แทนการใช้ไลบรารีสำเร็จรูป ➡️ ใช้ version pinning และ lockfile เพื่อควบคุมเวอร์ชันของ dependencies ➡️ หลีกเลี่ยงการใช้ postinstall script เพื่อป้องกันการรันโค้ดอันตราย ✅ กระบวนการอัปเดตที่ปลอดภัย ➡️ อ่าน changelog ทีละบรรทัดและตรวจสอบ sub-dependencies ก่อนอัปเดต ➡️ รันเทสต์ทั้งอัตโนมัติและด้วยมือก่อน commit lockfile ใหม่ ➡️ เว้นช่วงระหว่างการอัปเดตและการปล่อยเวอร์ชันจริงเพื่อให้มีเวลาเฝ้าระวัง ➡️ ใช้เฉพาะ dependencies ที่จำเป็นจริง ๆ และไม่อัปเดตบ่อย ✅ ข้อมูลเสริมจากภายนอก ➡️ เหตุการณ์โจมตี npm ล่าสุดมีแพ็กเกจยอดนิยมกว่า 27 ตัวถูกฝังมัลแวร์ ➡️ มัลแวร์ใน npm ใช้เทคนิค obfuscation และแฝงตัวใน browser API เพื่อขโมยข้อมูล ➡️ การโจมตีผ่าน supply chain มักเกิดจาก human error เช่น การคลิกลิงก์ phishing โดย maintainer ➡️ การใช้ lockfile และการตรวจสอบ sub-dependencies เป็นแนวทางที่องค์กรควรนำไปใช้ https://obsidian.md/blog/less-is-safer/