Authentifizierung in der Snyk CLI erforderlich

Seit dem Start von Snyk Ende 2015 konnten Anwendungen anonym getestet werden. Heute haben wir eine neue Version veröffentlicht, für deren Nutzung eine (kostenlose!) Registrierung und Authentifizierung erforderlich ist. In diesem Beitrag erklären wir, warum wir diese Änderung vorgenommen haben und was sie für Sie bedeutet.

Missbrauch verhindern

Im Laufe des Jahres 2016 haben wir erlebt, wie die Nutzung von Snyk stark und kontinuierlich zunahm. Der Großteil davon war legitim und wuchs schnell, aber gleichmäßig. Hin und wieder gab es jedoch massive Testspitzen. Diese waren meist missbräuchlich (manchmal sogar vorsätzliche Angriffe) und erhöhten die Auslastung unseres Systems drastisch, sodass es für andere Nutzer langsamer wurde.

Theoretisch ist die Lösung einfach: missbräuchliche Nutzer sperren oder drosseln. In der Praxis ist es jedoch nahezu unmöglich, anonyme Nutzer zu identifizieren und zu sperren. Cloud-Systeme – von CI-Plattformen wie Travis und Circle bis zu Cloud-Plattformen wie AWS und Google Cloud – verwenden ständig dieselben IP-Adressen. Daher ist eine Sperre anhand der IP-Adresse sehr ungenau. Ebenso lässt sich das Testen anhand des Paketnamens nur ungenau blockieren, da Open-Source-Pakete gemeinsam genutzt und getestet werden.

Das waren die beiden vielversprechendsten Ansätze, die wir geprüft haben. Schließlich kamen wir zu dem Schluss, dass sich Missbrauch bei der Nutzung eines Dienstes wie unserem nur verhindern lässt, indem Nutzer sich authentifizieren müssen. Sobald sie authentifiziert sind, können wir Nutzer, die mehr als ihren fairen Anteil an Ressourcen beanspruchen, problemlos sperren oder drosseln.

Mit unseren Nutzern in Kontakt bleiben

Snyk ist ein wachsendes, schnelllebiges Unternehmen, und unsere Tools entwickeln sich rasant weiter. Wir veröffentlichen regelmäßig neue Funktionen, mit denen unsere Nutzer ihre Anwendungen mit weniger Aufwand und größerer Genauigkeit absichern können.

Nutzer, die Snyks CLI anonym in der CI verwenden, erfahren leider kaum etwas über diese neuen Funktionen. Daher haben wir festgestellt, dass solche Nutzer bei der Weiterentwicklung ihrer Snyk-Nutzung und der Ausweitung auf weitere Anwendungen hinterherhinken.

Die Einführung der Authentifizierungspflicht ist ein gutes Beispiel für dieses Problem: Wir hatten keine gute Möglichkeit, Nutzer darüber zu informieren, dass die Authentifizierung bald erforderlich sein würde. In den letzten Monaten wies unsere CLI darauf hin, dass die Authentifizierung bald verpflichtend wird. Das zeigte zwar Wirkung, war aber kein guter Kommunikationsweg.

Durch die Authentifizierung können wir Sie über wichtige Änderungen informieren – von spannenden neuen Funktionen bis hin zu Änderungen, die sich auf Ihre aktuelle Nutzung auswirken können.

Was ist mit dem Anwenden von Patches?

Während für Snyks Tests jetzt eine Authentifizierung erforderlich ist, können Sie mit snyk protect weiterhin snyk-Patches anwenden, ohne sich zu authentifizieren. Eine Änderung daran ist nicht geplant.

Das Beheben von Sicherheitslücken mit Snyk-Patches ist häufig Teil der Installation eines npm-Pakets. Das Paket installiert seine Abhängigkeiten und wendet anschließend Patches auf verbleibende Sicherheitslücken an. Dieser Vorgang wird von den Nutzern des Pakets ausgeführt, nicht von den Nutzern von Snyk. Daher gibt es keinen geeigneten Ort, um in diesem Ablauf ein Snyk-Token einzubinden.

Deshalb wird snyk protect trotz eines gewissen Risikos des Ressourcenmissbrauchs weiterhin anonym nutzbar sein. Zum Glück ist protect für unsere Server eine relativ ressourcenschonende Aktion!

Heißt das, ich muss jetzt für die Nutzung von Snyk bezahlen?

Ganz und gar nicht!

Die Registrierung bei Snyk war und ist kostenlos. Führen Sie einfach in Ihrem Terminal snyk auth aus (oder registrieren Sie sich unter https://snyk.io/), um Ihr Konto einzurichten. Wir bieten auch Premium-Tarife, die Sie sich unbedingt ansehen sollten. Der kostenlose Tarif von Snyk bleibt jedoch genau wie bisher.

Nach der Registrierung finden Sie snyk auth (mit Ihrem persönlichen Schlüssel) auf Ihrem Dashboard nach der Anmeldung und auf Ihrer Kontoseite. Fügen Sie diese Zeile vor snyk test ein – dann sind Sie startklar. Wenn Sie Snyk in Ihrer CI verwenden, finden Sie in unserer Dokumentation Hinweise dazu, wie Sie dort Ihr Authentifizierungstoken einrichten.

Wenn Sie Github verwenden oder bereits vor snyk test snyk auth ausführen, müssen Sie nichts weiter tun.

Wie geht es weiter?

Damit der Umstieg möglichst einfach ist, verlangen wir die Authentifizierung derzeit nur in der neuesten Version unserer CLI. In den kommenden Wochen möchten wir die Verbreitung der neuen Version beobachten und die Authentifizierung zum passenden Zeitpunkt serverseitig verpflichtend machen.W

Wir hoffen, dass Sie Snyk weiterhin zum Schutz Ihrer Anwendungen nutzen. Wie immer freuen wir uns über Ihr Feedback zu dieser oder anderen Änderungen unter support@snyk.io.