В NPM е включена задължителна двуфакторна автентикация за 500-те най-популярни пакета

В хранилището NPM е включено прилагането на задължителна двуфакторна автентикация за акаунтите на поддържащите 500-те най-популярни NPM-пакета. Критерият за популярност е броят на зависимите пакети. Поддържащите пакети от списъка ще могат да извършват операции, свързани с промените в хранилището, само след активация на двуфакторната автентикация, която изисква потвърждение на входа чрез еднократни пароли (TOTP), генерирани от приложения като Authy, Google Authenticator и FreeOTP, или хардуерни ключове и биометрични скенери, поддържащи протокол WebAuth.

Това е третият етап на усилване на защитата на NPM от компрометиране на акаунтите. На първия етап беше извършен преход на всички NPM акаунти, за които не е активирана двуфакторната автентикация, към използването на разширена верификация на акаунта, която изисква въвеждането на еднократен код, изпратен на имейл при опит за достъп до сайта npmjs.com или извършване на аутентифицирана операция с инструмента npm. На втория етап задължителната двуфакторна автентикация беше активирана за 100-те най-популярни пакета.

Напомняме, че съгласно проведеното през 2020 година проучване, само 9.27% от поддържащите пакети са използвали двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците са се опитвали да повторно използват компрометирани пароли, фигуриращи в известни изтичания на пароли. При проверката на надеждността на използваните пароли е бил получен достъп до 12% от акаунтите в NPM (13% от пакетите) заради използването на предсказуеми и тривиални пароли, като „123456“. Проблемни бяха 4 акаунта на потребители от Top 20 на най-популярните пакети, 13 акаунта, пакетите на които са били изтегляни повече от 50 млн. пъти на месец, 40 - с над 10 млн. изтегляния на месец и 282 с над 1 млн. изтегляния на месец. С оглед на изтеглянето на модули по вериги от зависимости, компрометирането на ненадеждни акаунти можеше да засегне до 52% от всички модули в NPM.

Източник: opennet.ru