NPM за усилване на защитата преминава от използването на TOTP 2FA и класически токени

След нова вълна от фишинг атаки срещу преносителите, инциденти с компрометиране на популярни пакети и поява на червеи, заразяващи зависимости, в репозитория NPM беше решено да се реализират допълнителни мерки за защита:

• Двоичната аутентификация ще стане задължителна при локално публикуване на пакети.
• Използването на еднократни пароли (TOTP) за двуфакторна аутентификация ще бъде обявено за остаряло. Потребителите ще бъдат прехвърлени на протокола FIDO U2F.
• Преминаване към гранулирани токени, чиято продължителност на живота е ограничена до 7 дни. Класическите токени ще бъдат обявени за остарели и достъпът до тях по подразбиране ще бъде деактивиран.
• Прилагане на механизма „Доверени издатели“, основан на стандарта OpenID Connect (OIDC) и токени за аутентикация с ограничено време на действие, които се обменят между външни услуги и каталога на пакети за потвърждаване на операцията по публикуване на пакет вместо използването на традиционни пароли или постоянни токени за достъп до API.

Източник: opennet.ru