CNCF: pinning na immutable digest, least-privilege tokeni i ephemeral runneri — recipe card za sigurniji GitHub Actions pipeline

Cloud Native Computing Foundation (CNCF) Technical Advisory Group (TAG) za sigurnost objavio je 4. svibnja 2026. praktični vodič “Securing GitHub Actions CI dependencies — Recipe card”. Autori Marina Moore, Evan Anderson i Sherine Khoury fokusirali su se na supply chain rizike u CI/CD pipelineu i daju pet konkretnih sigurnosnih praksi za maintainer-e i DevSecOps timove.

Zašto je GitHub Actions površina za supply chain napade?

Autori formuliraju problem oštro: “Running a third-party action is equivalent to cloning its code and executing it inside your own permission space.” Kompromitirana ovisnost može izložiti tajne (API ključeve, deploy credentials), promijeniti kod prije builda ili omesti objavljivanje paketa do registry-a.

Koje su pet preporučenih praksi?

1. Evaluacija prije upotrebe — preferirati akcije od provjerenih organizacija ili one s GitHub verifikacijom, uz osvrt na regularna ažuriranja i aktivnu zajednicu. Akcija s posljednjim commitom prije godinu dana i 3 contributora je jednako rizična kao i nepoznati paket.

2. Pinning na immutable digest — zamjena mutable tagova (poput @v1) jedinstvenim commit SHA hashem. Bez toga “anyone with upstream access to update tags could change your ingredients” — bilo koja kompromitacija upstream računa propagira se tihim restartom istog tag imena.

3. Automatska ažuriranja ovisnosti — korištenje Dependabota ili Renovatea za regularno osvježavanje akcija da bi se “benefit from the latest security updates”. Pinning bez automatskog ažuriranja zaglavi vas na zastarjelim verzijama.

4. Least-privilege pristup tokenima — ograničavanje GITHUB_TOKEN dozvola na minimum potreban za workflow. Default permissions su preširoke; eksplicitno deklariranje koje permissions workflow stvarno treba značajno smanjuje blast radius pri kompromitaciji.

5. Izbor runner infrastrukture — odabir između GitHub-hostanih ephemeralnih runnera ili self-hostanih, uz svijest o sigurnosnim trade-off-ovima. Ephemeralni runneri počnu i završe svaki job s čistim diskom; self-hosted runneri daju kontrolu, ali zahtijevaju vlastito hardening.

Koje alate CNCF konkretno preporučuje?

CNCF članak navodi specifične open-source alate koji adresiraju gornje prakse:

• zizmor, frizbee — skeniranje workflowa za sigurnosne probleme
• pinact, pin-github-action, ratchet — automatsko pinning na commit SHA
• scorecard — automatski scoring sigurnosti dependency repoa
• Dependabot, Renovate — automatska ažuriranja s pull request-ima

Recipe card format je akcijski — to nije teorijska analiza, već checklist koji DevOps tim može odmah primijeniti.

Članak je dostupan na cncf.io pod 4. svibnja 2026.