В NPM е включена задължителна двуфакторна аутентификация за 100-те най-популярни пакета.

GitHub обяви, че във хранилищата на NPM въвежда задължителна двуфакторна автентикация за 100 NPM пакета, включени като зависимости в най-голям брой пакети. Сопровождащите данни за тези пакети ще могат да извършват операции с хранилището, изискващи автентикация, само след активиране на двуфакторната автентикация, която изисква потвърждение на входа с помощта на еднократни пароли (TOTP), генерирани от приложения като Authy, Google Authenticator и FreeOTP. В най-скоро време, освен TOTP, планират да добавят възможност за използване на хардуерни ключове и биометрични скенери, поддържащи протокол WebAuth.

На 1 март е насрочено прехвърлянето на всички NPM акаунти, за които не е активирана двуфакторна автентикация, на използване на разширена верификация на акаунтите, която изисква въвеждане на еднократен код, изпратен на имейл при опит за вход в сайта npmjs.com или изпълнение на автентикирана операция в утилитата npm. При активиране на двуфакторна автентикация разширената верификация по имейл не се прилага. На 16 и 13 февруари ще бъде извършен пробен времеви старт на разширената верификация за всички акаунти за един ден.

Напомняме, че съгласно проведеното през 2020 година проучване, само 9.27% от поддръжниците на пакети са използвали двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците се опитвали да преизползват компрометирани пароли, които присъстват в известни изтичания на пароли. В процеса на проверка на надеждността на използваните пароли успяхме да получим достъп до 12% от акаунтите в NPM (13% от пакетите) поради използването на предсказуеми и тривиални пароли, като „123456“. Сред проблемните се оказаха 4 акаунта от Top20 на най-популярните пакети, 13 акаунта, пакетите на които се изтеглят повече от 50 млн. пъти на месец, 40 — повече от 10 млн. изтегляния на месец и 282 с над 1 млн. изтегляния на месец. Като се вземе предвид изтеглянето на модули по веригата на зависимостите, компрометирането на ненадеждни акаунти можеше да засегне до 52% от всички модули в NPM.

Източник: opennet.ru