NuGet.org API キーの有効期間が短縮：Microsoft が推進するソフトウェア・サプライチェーン強化策

Microsoft Strengthens NuGet Supply Chain Security By Reducing API Key Lifetime

2026/08/04 CyberSecurityNews — Microsoft が公表したのは、NuGet.org API キーの有効期間の短縮によりサプライチェーン・セキュリティを強化し、悪意のある .NET パッケージの公開時に盗み出された認証情報が悪用されるリスクを低減しようとする取り組みである。2026年8月17日以降、新規作成される NuGet.org API キーの最大有効期間は 30日に短縮され、これにより、このプラットフォームでは有効期間が 365日の API キーを公開者が作成できなくなる。さらに、2026年8月17日以前に作成されたすべての API キーは、11月1日に期限切れとなる。

Microsoft が NuGet サプライチェーン・セキュリティを強化

NuGet API キーは、パッケージ公開用のパスワードと同じように機能し、開発者により保存される。一連のキーは、CI/CD プラットフォーム／リポジトリ設定／ビルドサーバ／デプロイメント・コンフィグなどのシークレットとして使用されることが多く、自動公開が可能になる一方で、API キーは攻撃者にとって価値の高い標的にもなる。

攻撃者が長期有効なキーを入手した場合には、その認証情報が期限切れになるまでの数か月間にわたり、信頼されたプロジェクト名を利用してトロイの木馬化されたパッケージが公開される可能性がある。

今回の新しいポリシーについて Microsoft は、ソフトウェア・サプライチェーンのリスクを低減する、より広範な取り組みの一部だと述べている。

npm などのパッケージ・エコシステムも同様の対応を取っており、Microsoft は潜在的な影響の例として、盗まれた公開用認証情報が関与した最近のパッケージ侵害インシデントを挙げている。侵害されたパッケージは、多数の下流の開発者と組織へ迅速に到達する可能性がある。

NX Console npm パッケージに関する最近のインシデントでは、盗み出された認証情報を悪用する攻撃者が悪意のあるリリースを公開したと報告されており、そのパッケージは削除されるまでの 36 分間に 6000 回も有効化された。このようなインシデントが示すのは、単一の露出した公開用認証情報が、広範なソフトウェア・エコシステムへ影響し得ることである。

Microsoft の新しいポリシーは、盗まれた NuGet API キーを攻撃者が利用できる期間を短縮する一方、同社は有効期間の短縮だけでは再利用可能なシークレットに伴うリスクを完全には排除できないと警告している。API キーは依然として、ソースコード・コミット、CI/CD ログ、安全ではないシークレット保管、侵害された開発者システムを通じて露出する可能性がある。

Microsoft がパッケージ・メンテナに推奨しているのは、2025年9月に開始された NuGet Trusted Publishing へ移行することである。Trusted Publishing は、OpenID Connect (OIDC) を用いて長期有効な NuGet 公開キーを保存せずに CI/CD ワークフローを認証するものである。

このモデルでは、サポート対象の CI/CD プラットフォームがパッケージ公開ジョブ中に署名された短期有効のアイデンティティ・トークンを作成し、NuGet.org は、リポジトリ／ワークフロー／任意の環境詳細など、パッケージ所有者によって定義されたポリシーに照らしてそのトークンを検証する。その後、対象となる公開操作専用の一時 API キーが発行される。

このワークフローにより、再利用可能な NuGet API キーをリポジトリや CI/CD シークレット・ストアに置く必要がなくなり、シークレット・ローテーション作業の量を減らすとともに、認証情報の露出による被害を抑える効果もある。GitHub Actions と GitLab のユーザーに推奨されるのは、8月17日の期限前に Trusted Publishing への移行を開始することである。

現時点で OIDC ベースの公開を採用できないメンテナは、すべての NuGet 公開ワークフローを監査し、8月17日以前に作成されたキーを特定するとともに、30日ごとの認証情報ローテーションをサポートできるよう自動化を更新する必要がある。また、キーの有効範囲を必要最小限のパッケージ・スコープと権限に制限し、コードやログにキーを置くことを避け、露出した認証情報を直ちに取り消すべきである。

Microsoft は、NuGet が追加の CI/CD 環境全体で Trusted Publishing サポートを拡大するにつれて、さらに API キーの有効期間を短縮する可能性があると述べている。

訳者後書：NuGet.org において API キーの最大有効期間が短縮されるセキュリティ対策が導入されます。有効期間の長いキーが流出すると長期間にわたり悪意のあるパッケージが拡散される危険性があり、既存キーの自動失効に伴う CI/CD パイプラインのエラーやビルド停止といった影響が懸念されます。対応策として、30 日ごとのキーローテーション自動化や、OIDC を活用して固定シークレットを不要にする Trusted Publishing への移行が推奨されています。