Защитная инструкция по sm-crypto и ghsa-vh45-f885-3848: установить применимость, проверить источник энтропии для SM2 в Node.js на одноразовом стенде, измерить безопасный исход и подготовить обратимый выпуск без production-данных.
Карта применимости для sm-crypto
Advisory описывает отдельную проблему: генерация SM2 может опираться на Math.random и время вместо криптографического RNG. Проверяемая граница проходит между Node entropy API, SecureRandom initialization и SM2 scalar generation. Диапазоны Reviewed record: npm:sm-crypto < 0.5.0 → 0.5.0. Lockfile служит подсказкой, но не заменяет digest реально запущенной сборки. Снимите версии sm-crypto/jsbn/Node, detected crypto API, entropy provider calls, fallback calls, key-material logging state и build digest. Для каждого элемента укажите observed, expected, unknown или not-applicable, время и происхождение. Severity critical не подтверждает атаку, ущерб либо состояние конкретного deployment. Если происхождение бинарника неизвестно, не делайте вывод по одному package manager.
Окно обновления и контроль регрессии
Зафиксируйте исходный dependency tree и артефакт, установите подтверждённую исправленную ветку из диапазона «npm:sm-crypto < 0.5.0 → 0.5.0» в staging и повторите тот же baseline/boundary/baseline набор. Не меняйте одновременно reverse proxy, role model, parser settings или OS: иначе нельзя связать результат с обновлением. Сравните latency, memory, accepted/rejected decisions и обычный функциональный сценарий. Временный containment снимают только после безопасного результата и готового возврата. Возврат для этой карточки: обнулить test result, удалить process и fixture, вернуть dependency snapshot.
Критерий закрытия и минимальный пакет
Карточка закрывается, когда версия и provenance подтверждены, граничный вход даёт ожидаемый отказ или безопасную обработку, обычный контроль проходит, cleanup завершён, а журнал не содержит новых warning/error. Минимальный пакет для поддержки: versions, runtime, provider-call counters, fallback status, log scan result, digest и cleanup. В нём не должно быть IP, tokens, passwords, cookies, private keys, полного config, реальных файлов или payload. Отдельной строкой укажите: GitHub Reviewed Advisory подтверждает механизм и диапазон, но не эксплуатацию в этой среде, популярность запроса, индексацию или позиции.
Матрица решений на защитной границе
Разложите сценарий на вход, policy/parser, защищаемый объект и наблюдаемый исход. Для sm-crypto это «между Node entropy API, SecureRandom initialization и SM2 scalar generation». Ветвь close допустима, когда runtime вне указанных диапазонов или функция недостижима и это подтверждено. Ветвь update выбирают при совпавшей версии и доступном фиксированном артефакте. Ветвь contain оставляет узкое ограничение доступа до окна обновления. Ветвь escalate нужна при unknown provenance. Отчёт разделяет факт advisory, локальное наблюдение и вывод. Не объединяйте этот механизм с соседними advisory только из-за общего слова security.
Обратимый тест без эксплуатационного payload
Безопасный опыт: в test harness подменить providers счётчиками, выполнить одну генерацию и немедленно уничтожить результат; значения ключа не печатать, не сохранять и не использовать. Опыт проводят в одноразовой среде и завершают после первого граничного случая. Измеримый безопасный исход: patched path вызывает криптографический provider, небезопасный fallback не вызывается, logs не содержат key material. Не увеличивайте объём, глубину, число соединений или права после первого отклонения. Сохраняйте только decision code, counters, timings и hashes; реальные имена, адреса, credentials и пользовательские данные исключите. Красная линия: требуется анализ реального ключа, предсказание RNG или библиотека пишет private value в log. При её достижении завершите стенд и оставьте результат blocked/unknown вместо попытки воспроизвести атаку.
Материал подготовлен редакцией VOne с помощью ИИ, затем вручную проверен по двум прямым HTTPS-источникам; факты, диапазоны версий, безопасный опыт и отсутствие рекламных обещаний сверены человеком.
Источники и проверка
- GitHub Reviewed Advisory ghsa-vh45-f885-3848 проверено 2026-08-30
- Upstream-страница sm-crypto проверено 2026-08-30
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.