В NPM е включена задължителна двуфакторна автентикация за 100 най-популярни пакета

GitHub обяви, че задължителната двуфакторна автентикация ще бъде включена за 100 NPM пакета в репозиториите на NPM, които са включени като зависимости в най-голям брой пакети. Поддържачите на тези пакети вече ще могат да извършват операции, изискващи автентикация с репозитория само след активиране на двуфакторната автентикация, която изисква потвърждение на влизането чрез еднократни пароли (TOTP), генерирани от приложения като Authy, Google Authenticator и FreeOTP. В най-скоро време, освен TOTP, се планира добавяне на опция за използване на хардуерни ключове и биометрични скенери, които поддържат протокол WebAuth.

На 1 март е насрочен превод на всички NPM акаунти, за които не е активирана двуфакторна автентикация, към използване на разширена верификация на акаунтите, която изисква въвеждането на еднократен код, изпратен на електронна поща при опит за влизане в сайта npmjs.com или извършване на автентикирана операция в npm утилитата. Когато е активирана двуфакторната автентикация, разширената верификация по имейл не се прилага. На 16 и 13 февруари ще бъде извършен пробен времеви пуск на разширената верификация за всички акаунти за 24 часа.

Напомняме, че съгласно проведеното през 2020 година проучване, само 9.27% от поддържащите пакети са използвали двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците са се опитвали да повторно използват компрометирани пароли, фигуриращи в известни изтичания на пароли. При проверката на надеждността на използваните пароли е бил получен достъп до 12% от акаунтите в NPM (13% от пакетите) заради използването на предсказуеми и тривиални пароли, като „123456“. Проблемни бяха 4 акаунта на потребители от Top 20 на най-популярните пакети, 13 акаунта, пакетите на които са били изтегляни повече от 50 млн. пъти на месец, 40 - с над 10 млн. изтегляния на месец и 282 с над 1 млн. изтегляния на месец. С оглед на изтеглянето на модули по вериги от зависимости, компрометирането на ненадеждни акаунти можеше да засегне до 52% от всички модули в NPM.

Източник: opennet.ru