🛡️ หัวข้อข่าว: "Dependency Cooldowns – เกราะป้องกันซัพพลายเชนโอเพนซอร์ส" ซัพพลายเชนซอฟต์แวร์โอเพนซอร์สกำลังเผชิญกับการโจมตีที่เพิ่มขึ้นเรื่อย ๆ เช่นการขโมย credential หรือการแทรกโค้ดอันตรายเข้าไปในแพ็กเกจยอดนิยมบน PyPI หรือ npm บทความชี้ว่าแม้บริษัทด้านความปลอดภัยจะพยายามตรวจจับและแจ้งเตือน แต่ช่องว่างระหว่างการโจมตีและการแก้ไขยังคงมีอยู่ ทำให้ผู้ใช้ที่อัปเดต dependency แบบอัตโนมัติกลายเป็นเป้าหมายทันที. แนวคิด Dependency Cooldowns คือการกำหนดระยะเวลารอ (เช่น 7 วัน) หลังจาก dependency ถูกเผยแพร่ ก่อนที่จะนำมาใช้จริง ระหว่างนั้นผู้ให้บริการความปลอดภัยสามารถตรวจสอบและรายงานปัญหาได้ทันเวลา ทำให้ผู้ใช้หลีกเลี่ยงการติดตั้งเวอร์ชันที่ถูกแฮก. ตัวอย่างการโจมตีที่ถูกยกมา เช่น Ultralytics ที่มีช่องโหว่เพียง 12 ชั่วโมง, rspack ที่ถูกโจมตีในเวลา 1 ชั่วโมง, และ chalk ที่ใช้เวลาไม่ถึง 12 ชั่วโมง แสดงให้เห็นว่าการหน่วงเวลาเพียงหนึ่งสัปดาห์สามารถป้องกันได้ถึง 80–90% ของการโจมตีเหล่านี้. การนำไปใช้ก็ไม่ซับซ้อน เช่น Dependabot และ Renovate มีฟังก์ชันตั้งค่า cooldown อยู่แล้ว เพียงเพิ่มบรรทัด cooldown: default-days: 7 ลงในไฟล์คอนฟิก ก็สามารถลดความเสี่ยงได้ทันที โดยไม่ต้องลงทุนเพิ่ม. 📌 สรุปสาระสำคัญ ✅ แนวคิด Dependency Cooldowns ➡️ หน่วงเวลา 7–14 วันก่อนใช้ dependency ใหม่ ➡️ เปิดโอกาสให้ระบบตรวจจับภัยคุกคามทันเวลา ✅ ตัวอย่างการโจมตีซัพพลายเชน ➡️ Ultralytics: 12 ชั่วโมง ➡️ rspack: 1 ชั่วโมง ➡️ chalk: < 12 ชั่วโมง ➡️ xz-utils: 5 สัปดาห์ (กรณีใหญ่และซับซ้อน) ✅ การนำไปใช้จริง ➡️ Dependabot และ Renovate รองรับการตั้งค่า cooldown ➡️ ฟรีและง่ายต่อการใช้งาน ‼️ คำเตือนด้านความปลอดภัย ⛔ Cooldowns ไม่สามารถป้องกันการโจมตีทั้งหมดได้ โดยเฉพาะกรณีซับซ้อนเช่น xz-utils ‼️ คำเตือนด้านการจัดการซัพพลายเชน ⛔ ปัญหาซัพพลายเชนเป็นเรื่องของ “ความไว้วางใจทางสังคม” ไม่ใช่แค่เทคนิค https://blog.yossarian.net/2025/11/21/We-should-all-be-using-dependency-cooldowns