NuGet.org, Microsoft'un kimlik bilgilerinin çalınması riskini azaltmayı ve yazılım paketi tedarik zincirinin güvenliğini artırmayı amaçladığını belirttiği bir adımla, 17 Ağustos 2026'dan itibaren yeni API anahtarlarının geçerlilik süresini 30 güne indirmeyi planlıyor. Platform ayrıca 365 günlük yeni anahtar oluşturma seçeneğini kaldıracak; 17 Ağustos'tan önce oluşturulan tüm anahtarların süresi ise 1 Kasım 2026'da dolacak.
Microsoft, NuGet.org'da paket yayınlayan herkesin değişiklik uygulanmaya başlamadan önce mevcut yayınlama yöntemlerini gözden geçirmesini istiyor; özellikle de API anahtarı pratikte paket yayınlamaya izin veren bir parola olarak kullanıldığı için. Uzun süre geçerli bir anahtar bir depodaki gizli bilgi olarak saklanır, birden fazla sistem arasında kopyalanır veya derleme ayarlarına eklenirse, anahtarın açığa çıkması saldırgana yetkisiz sürümler yayınlamak için uzun bir süre sağlayabilir.
Anahtar geçerlilik süresini kısaltma planı
Plan iki net aşamadan oluşuyor:
- 17 Ağustos 2026: Yeni anahtarların azami geçerlilik süresinin 30 günle sınırlandırılması ve 365 günlük süre seçeneğinin kaldırılması.
- 1 Kasım 2026: 17 Ağustos 2026'dan önce oluşturulan tüm anahtarların süresinin dolması.
Microsoft, sürenin kısaltılmasının API anahtarlarını kendi başına güvenli hale getirmediğini, ancak kaybolan veya sızdırılan bir anahtarın kullanılabileceği süreyi azalttığını açıklıyor. Şirket, çalınan kimlik bilgileri kullanılarak NX console paketine gerçekleştirilen saldırı olayına atıfta bulundu; NX Console zararlı bir paket olarak yayımlandı ve NX ekibine göre kaldırılmadan önce 36 dakika içinde 6000 kez etkinleştirildi.
Trusted Publishing'e geçiş önerisi
Microsoft, Eylül 2025'te kullanıma sunulan ve CI/CD iş akışlarının OpenID Connect (OIDC) üzerinden NuGet.org'a kimlik doğrulaması yapmasına olanak tanıyan bir yayınlama mekanizması olan Trusted Publishing'in kullanılmasını öneriyor. İş akışı, kısa ömürlü imzalı bir kimlik belirteci sunuyor; NuGet.org bu belirteci paket sahibi tarafından belirlenen bir politikaya göre doğruluyor ve ardından yalnızca yayınlama işlemi için geçici bir API anahtarı oluşturuyor.
Uzun süre geçerli bir anahtarın bir sır deposundan alınmasının aksine, bu mekanizma depoda veya CI/CD sisteminde uzun süre geçerli bir yayınlama sırrının saklanmasını gerektirmiyor; ayrıca kısa ömürlü kimlik bilgileri oluşturuyor ve bunların geçerliliğini otomatik olarak sona erdiriyor. Politika, depo ve iş akışıyla ilişkili iş yükünün kimliğinin doğrulanmasını ve isteğe bağlı bir ortam eklenmesini kapsıyor. Ayrıca kullanıcı tarafından yönetilen sırlar veya bunların manuel olarak yenilenmesini gerektirmiyor ve kimlik bilgilerinin açığa çıkmasının etkisini sınırlıyor.
Paket yayıncılarının yapması gerekenler
Yayıncılar NuGet.org'a yapılan tüm yayınlama işlemlerini envanterlemeli, 17 Ağustos 2026'dan önce oluşturulan anahtarları belirlemeli ve daha kısa ömürlü anahtarları güvenli biçimde kullanıp yenileyecek şekilde otomasyonlarını güncellemelidir. Yönergeler ayrıca paketler ve gerekli izinler için mümkün olan en dar kapsamın kullanılmasını, API anahtarının kaynak kodu deposuna veya günlük kayıtlarına konulmamasını, kaybolan ya da açığa çıkan tüm anahtarların derhal silinmesini ve geçerlilik süresi bildirimlerinin izlenen bir hesaba ulaştığından emin olunmasını içeriyor.
Microsoft, GitHub Actions ve GitLab kullanıcılarını Trusted Publishing'e geçişe başlamaya çağırıyor. Diğer yayınlama ortamlarının kullanıcıları ise iş akışlarının 30 gün içinde sona eren anahtarları kullanabildiğinden emin olmalı ve eski anahtarların 1 Kasım'da süresinin dolmasına hazırlanmalıdır. NuGet.org arayüzü üzerinden yayınlama, manuel senaryolar için kullanılmaya devam edecek. Şirket ayrıca diğer CI/CD ortamları için destek eklendiğinde toplulukla güncellemeler paylaşacağını ve API anahtarlarının geçerlilik süresinin gelecekte daha da kısaltılabileceğini belirtti.