Във връзка с нарастващия брой случаи на захващане на хранилища на големи проекти и разпространение на зловреден код чрез компрометиране на акаунти на разработчици, компанията GitHub въвежда широкообхватна разширена верификация на акаунти. Специално за поддържачите и администраторите на 500-те най-популярни NPM пакета, в началото на следващата година ще бъде внедрена задължителна двуфакторна аутентификация.
От 7 декември 2021 г. до 4 януари 2022 г. ще бъде извършен преход на всички мейнтейнерите, които имат право да публикуват NPM пакети, но не използват двуфакторна аутентификация, към използването на разширена верификация на акаунти. Разширената верификация означава необходимостта от въвеждане на еднократен код, изпратен на имейл при опит за вход на сайта npmjs.com или извършване на автентикирана операция в инструмента npm.
Разширената верификация не заменя, а само допълва предлаганата преди това опционална двуфакторна аутентификация, при която е необходимо потвърждение чрез еднократни пароли (TOTP). При активиране на двуфакторна аутентификация, разширената верификация по имейл не се прилага. Започвайки от 1 февруари 2022 г. ще започне процесът на преход на задължителна двуфакторна аутентификация за поддържачите на 100-те най-популярни NPM пакета с най-много зависимости. След завършването на миграцията на първата стотина, промяната ще бъде разпространена на 500-те най-популярни NPM пакета по брой зависимости.
В допълнение към наличната в момента схема на двуфакторна аутентификация, основана на приложения за генериране на еднократни пароли (Authy, Google Authenticator, FreeOTP и т.н.), през април 2022 г. планират да добавят възможност за използване на хардуерни ключове и биометрични скенери, за които има поддръжка на протокола WebAuthn, както и възможност за регистрация и управление на различни допълнителни фактори за автентикация.
Напомняме, че според проведено през 2020 година проучване, само 9.27% от поддържачите на пакети използват двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците опитват да повторно използват компрометирани пароли, които присъстват в известни течове на пароли. При проверка на надеждността на използваните пароли беше постигнат достъп до 12% от акаунтите в NPM (13% от пакетите) заради употребата на предсказуеми и тривиални пароли, като „123456“. Включени са 4 акаунта от Топ 20 на най-популярните пакети, 13 акаунта, пакети, които са изтегляни повече от 50 млн. пъти на месец, 40 — с повече от 10 млн. изтегляния на месец и 282 с повече от 1 млн. изтегляния на месец. С оглед на зареждането на модули по вериги на зависимости, компрометирането на ненадеждни акаунти може да е засегнало до 52% от всички модули в NPM.
Източник: opennet.ru
