GitHub Actions, 이제 태그 대신 lockfile로 공급망 공격을 막는다
Lock Your GitHub Actions
GitHub Actions가 workflow lockfile을 정식 지원하면서, 그동안 권장되던 전체 SHA 고정 방식이 더 편한 방식으로 대체된다. gh CLI 확장인 gh-actions-lock을 설치해 gh actions-lock을 실행하면 워크플로가 vX.Y.Z 태그를 쓰고 .github/workflows/actions.lock에 커밋 해시를 기록한다. Renovate와 Dependabot이 lockfile을 갱신하며, CI에서 --verify로 무결성을 검증할 수 있다. 보안 린터 zizmor v1.32.0도 lockfile을 지원한다.
태그는 변경 가능하고, 공격자가 이전에 안전했던 태그를 악성 코드로 가리키게 하는 공급망 공격에 취약하기 때문이다.