Microsoft verkürzt die Gültigkeitsdauer von NuGet-API-Schlüsseln auf 30 Tage

Microsoft verkürzt die Gültigkeitsdauer von NuGet-API-Schlüsseln, um die Sicherheit der Software-Lieferkette zu stärken und den Schaden durch gestohlene Veröffentlichungs-Anmeldeinformationen zu verringern.

NuGet ist Microsofts Paket-Manager für das .NET-Ökosystem. Entwickler verwenden ihn, um wiederverwendbare Bibliotheken in .NET-Projekten zu installieren, zu verwalten und zu verteilen.

Neue NuGet-API-Schlüssel laufen nach 30 Tagen ab

Ab dem 17. August 2026 laufen alle neu erstellten NuGet.org-API-Schlüssel nach 30 Tagen ab.

Microsoft wird auch vorhandene Anmeldeinformationen ungültig machen. API-Schlüssel, die vor dem 17. August erstellt wurden, bleiben nur noch bis zum 1. November 2026 gültig.

Das Unternehmen erklärte, dass die kürzeren Gültigkeitsdauern der NuGet-API-Schlüssel die Zeit verringern, in der Angreifer offengelegte oder gestohlene Anmeldeinformationen zum Veröffentlichen kompromittierter Pakete nutzen können.

Herausgeber, die weiterhin API-Schlüssel verwenden, müssen diese häufiger rotieren. Entwicklungsteams sollten automatisierte Workflows aktualisieren und sicherstellen, dass abgelaufene Anmeldeinformationen ersetzt werden können, ohne Paketveröffentlichungen zu unterbrechen.

Microsoft empfiehlt außerdem, jeden Schlüssel auf die Pakete und Berechtigungen zu beschränken, die für seine Veröffentlichungsaufgabe erforderlich sind.

Microsoft empfiehlt Trusted Publishing

Microsoft möchte, dass Entwickler herkömmliche API-Schlüssel nach Möglichkeit durch NuGet Trusted Publishing ersetzen.

Trusted Publishing verwendet OpenID Connect-Authentifizierung und kurzlebige Identitätstoken. NuGet validiert jedes Token anhand vordefinierter Richtlinien, bevor es temporäre Veröffentlichungs-Anmeldeinformationen ausstellt.

GitHub Actions- und GitLab-Veröffentlichungs-Workflows unterstützen das System bereits. Dieser Ansatz macht es überflüssig, wiederverwendbare API-Schlüssel in Repositories, Workflow-Einstellungen oder anderen Entwicklungssystemen zu speichern.

Entwickler, die Pakete manuell veröffentlichen, können die NuGet.org-Weboberfläche verwenden, anstatt für gelegentliche Veröffentlichungen eine langlebige Anmeldeinformation zu verwalten.

Gestohlene Anmeldeinformationen bleiben ein Lieferkettenrisiko

Microsoft nannte die Kompromittierung des npm-Pakets NX Console als Beispiel dafür, wie schnell Angreifer Veröffentlichungszugriff missbrauchen können.

Angreifer nutzten kompromittierte Anmeldeinformationen, um ein bösartiges Paket-Update zu veröffentlichen. Das manipulierte Paket wurde Berichten zufolge innerhalb von 36 Minuten vor seiner Entfernung etwa 6.000 Mal aktiviert.

Kurzlebige Anmeldeinformationen können nicht jeden Angriff verhindern, aber sie können den Zeitraum verringern, in dem gestohlener Zugriff nutzbar bleibt.

In anderen Sicherheitsnachrichten: Microsoft kämpft mit der Behebung von Fehlern, die von Anthropics Claude Mythos gefunden wurden. Das Unternehmen hat außerdem das Sicherheitsmodell MAI-Cyber-1-Flash veröffentlicht, um die Schwachstellenerkennung zu verbessern und gleichzeitig die Betriebskosten zu senken.