Understanding npm Developers' Practices, Challenges, and Recommendations for Secure Package Development
Este estudio investiga las percepciones, prácticas y desafíos de seguridad de 75 desarrolladores de paquetes npm a través de una encuesta de métodos mixtos, revelando que si bien la seguridad es una prioridad, los desarrolladores enfrentan barreras significativas como las limitaciones de tiempo y de herramientas, lo que impulsa recomendaciones para mejorar las herramientas de detección, la documentación y la educación para aumentar la confiabilidad del ecosistema.
Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo
Imagina el mundo del desarrollo de software como una ciudad enorme y bulliciosa llamada Node City. En esta ciudad, casi todos los edificios (una aplicación o un sitio web) no se construyen desde cero, sino ensamblando piezas de Lego prefabricadas. Estas piezas se llaman paquetes npm. Hay más de 2 millones de ellas, y se descargan miles de millones de veces al mes.
Las personas que construyen, mantienen y reparten estas piezas son los desarrolladores de npm. Ellos son los arquitectos y los cuidadores de esta ciudad.
Este documento es como una reunión en el ayuntamiento donde los investigadores preguntaron a 75 de estos fabricantes de piezas: "¿Qué tan seguras cree que son sus piezas? ¿Qué le quita el sueño? ¿Y qué herramientas utiliza para mantener la ciudad segura?"
Esto es lo que encontraron, explicado de forma sencilla:
1. La paradoja del "Sé que es importante, pero..."
Los desarrolladores coincidieron: La seguridad es superimportante. Les importa profundamente. Sin embargo, cuando se les pidió calificar la seguridad de sus propias piezas, la mayoría les dio un "C+" o un "B-". No dijeron: "Mis piezas son perfectas". Dijeron: "Están bien, pero no son geniales".
- La analogía: Es como un chef que sabe que la seguridad alimentaria es crítica, pero admite: "Mi cocina está limpia, pero no estoy 100% seguro de no haber dejado una pequeña mota de polvo en la sopa". Valoran la seguridad, pero saben que su propio trabajo no es impecable.
2. Los grandes monstruos terroríficos (Amenazas)
Cuando se les preguntó qué es lo que más les asusta, los desarrolladores señalaron tres monstruos principales:
- Ataques a la cadena de suministro: Imagina a un ladrón colándose en el almacén donde se guardan los ladrillos y cambiando un ladrillo rojo seguro por una bomba. Este es el miedo número uno.
- Vulnerabilidades de dependencias: Tu ladrillo puede ser seguro, pero está pegado a otro ladrillo que tiene una grieta. Si ese otro ladrillo se rompe, el tuyo también cae.
- Código malicioso: Alguien poniendo intencionadamente una trampa dentro de un ladrillo.
3. Las herramientas: El problema de la "Carpeta de Spam"
Los desarrolladores tienen herramientas para buscar estos monstruos (como npm audit o Dependabot). Pero solo el 40% de ellos están contentos con estas herramientas.
- La analogía: Imagina que tienes un detector de humo en tu cocina. Funciona de maravilla, pero se activa cada vez que tuestas un pan o abres una ventana. Después de un tiempo, sufres fatiga de alertas. Empiezas a ignorar el pitido porque piensas: "Ah, es solo la tostadora otra vez".
- Los desarrolladores dijeron que las herramientas gritan "¡PELIGRO!" con demasiada frecuencia por cosas que en realidad no son peligrosas (falsas alarmas). Esto hace que se cansen y sean menos propensos a escuchar cuando comienza un fuego real.
4. Cómo arreglan las cosas
Cuando un desarrollador encuentra una grieta en su ladrillo, suele actuar rápido.
- El proceso: Comprueban qué tan grave es la grieta, la reparan y lanzan una nueva versión inmediatamente.
- La estrategia de "Abandono": Si un ladrillo en el que confían es abandonado (nadie lo mantiene) o tiene una grieta conocida que no se va a reparar, dejan de usarlo. Es como darse cuenta de que un proveedor ha quebrado, así que cambias a un nuevo proveedor de inmediato.
la 5. Los obstáculos (Por qué es difícil)
¿Por qué no hacen que todo sea perfecto? El mayor obstáculo es el Tiempo.
- La analogía: Imagina que estás construyendo una casa mientras alguien te entrega constantemente nuevos planos, te pide que pintes las paredes y te dice que repares el techo. Simplemente no tienes suficientes horas en el día para revisar cada uno de los clavos por seguridad.
- Otros obstáculos incluyen que las herramientas son confusas, el "ruido" de demasiadas alertas y la pura complejidad de gestionar miles de conexiones entre piezas.
6. Lo que quieren (La lista de deseos)
Si el consejo de la ciudad (npm) pudiera concederles tres deseos para hacer la ciudad más segura, esto es lo que los desarrolladores pidieron:
- Detectores mejores: Herramientas que dejen de gritar por el pan tostado y solo griten por fuegos reales. Quieren herramientas más inteligentes, no solo más herramientas.
- Instrucciones más claras: Mejores guías y documentación sobre cómo construir de forma segura.
- Más apoyo: Quieren ayuda financiera o incentivos. La seguridad requiere tiempo, y quieren ser recompensados por dedicar ese tiempo.
Una cosa que específicamente no quieren: No quieren herramientas que arreglen automáticamente los ladrillos por ellos sin preguntar. Desconfían de los robots intentando parchar agujeros porque podrían parchar lo que no deben. Prefieren hacer ellos mismos la reparación una vez que saben qué es lo que está mal.
La conclusión
Los desarrolladores de npm tienen buenas intenciones y son conscientes de los peligros, pero están abrumados. Están intentando mantener segura una ciudad masiva e interconectada con herramientas que a veces dan falsas alarmas con demasiada frecuencia, y se están quedando sin tiempo. Para hacer el mundo del software más seguro, necesitamos darles mejores herramientas, más silenciosas, instrucciones más claras y un poco más de tiempo para hacer el trabajo bien.
¿Ahogado en artículos de tu campo?
Recibe resúmenes diarios de los artículos más novedosos que coincidan con tus palabras clave de investigación — con resúmenes técnicos, en tu idioma.