SHA Pinning في GitHub Actions: امنع Supply Chain Attack من سرقة CI Secrets

الـ comment بعد الـ SHA مش زينة. أدوات زي Renovate و Dependabot بتقرأه عشان تعرف ترقّيك للـ tag الجديد المقابل لما يطلع release.

أتمتة المهمة بـ Renovate

Pinning يدوي بيموت بعد أسبوعين. لازم automation. ضيف renovate.json ده في جذر الـ repo:

النتيجة: كل أسبوع PR واحد بيحدّث الـ SHAs المتوفّرة، الـ comment بيعكس الـ tag الجديد، وانت بتراجع الـ diff بعينك قبل الـ merge. الفكرة هنا مش إن الإنسان يكون أحسن من البوت في كشف الكود الخبيث — الفكرة إن الـ pinning بيفصلك عن الـ window الزمني للهجوم. لما الـ SHA متغيّرش لمدة أسبوع، أي compromise بيحصل في النص بيتم اكتشافه قبل ما يلمسك.

الـ trade-offs اللي لازم تعرفها

المكسب: حماية حقيقية ضد الـ retroactive tag manipulation. الخسارة: تلات تكاليف فعلية، اعرفها قبل ما تتبنى الفكرة على scale.

• قراءة أصعب: سطر uses: actions/checkout@8e5e7e5ab8b370d6c329ec480221332ada57f0ab أصعب على المراجع البشري من @v4. الـ comment بيخفّف، مش بيلغي.
• تأخير في تطبيق patches: لو طلعت ثغرة في v4.2.2 وعملوا v4.2.3، أنت لسه على القديم لحد ما Renovate يفتح PR. مش زي @v4 اللي بياخد الـ patch تلقائيًا.
• زيادة في PR noise: 12 action × ترقية شهرية ≈ 12 PR إضافي. تعامل معاها بـ batched updates و auto-merge للـ minor/patch فقط بعد ما تـ pass الـ CI.

قياس الأثر بأرقام

الافتراض: organization فيها 80 repo، كل repo بيستخدم 6 actions في المتوسط، يعني 480 reference. حادثة tj-actions أصابت أكتر من 23,000 workflow public على GitHub في أقل من 12 ساعة. الـ orgs اللي كانت pinning by SHA من قبل: 0 ضحايا مؤكدين. التكلفة لو طبّقت Renovate من اليوم الأول: حوالي ساعة setup للـ org كله، + 15 دقيقة مراجعة أسبوعيًا لكل team. الـ ROI واضح لو بتقرأ secrets.* أو بتعمل deploy بـ GITHUB_TOKEN.

متى لا تستخدم SHA Pinning

تلات سيناريوهات Pinning فيها overkill حقيقي:

• repo شخصي تجريبي مفهوش secrets ولا deploy targets — مفيش حاجة تتسرق
• action داخلي جوّه نفس المنظمة على private repo، والـ branch protection شغّالة بـ signed commits — الثقة محمية بطبقة تانية
• workflows بتشتغل على pull_request من forks بـ permissions: read-all فقط، ومش بتقرأ secrets أصلاً

غير كده، لو بتعمل deploy لـ production أو بتقرأ secrets.*: Pinning مش اختيار، ده default سليم.

الخطوة التالية

افتح أكبر workflow عندك دلوقتي. شغّل الأمر ده عشان تستخرج SHA الحالي لكل tag:

استبدل الـ tag بالـ SHA + comment فيه الـ version. بعدين فعّل Renovate config اللي فوق وخلّيه يفتح PRs أسبوعيًا. لو لقيت action مش متاح له release notes واضحة أو فيه maintainer واحد بس، فكّر مرتين قبل ما تستخدمه أصلاً — ده signal أهم من عدد الـ stars.

المصادر

• StepSecurity Advisory — tj-actions/changed-files compromise (March 14, 2025): stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised
• GitHub Docs — Security hardening for GitHub Actions § Using third-party actions: docs.github.com/en/actions/security-guides/security-hardening-for-github-actions
• Renovate Documentation — pinDigests configuration option: docs.renovatebot.com/configuration-options/#pindigests
• OpenSSF Scorecard — Pinned-Dependencies check: github.com/ossf/scorecard/blob/main/docs/checks.md#pinned-dependencies
• CISA Alert AA25-074A — Supply Chain Compromise Affecting GitHub Actions (March 2025)