GitHub въвежда задължителна разширена верификация на акаунти в NPM

Във връзка с увеличаващите се случаи на компрометиране на репозитории на големи проекти и разпространение на злонамерен код чрез компрометиране на акаунти на разработчици, компанията GitHub въвежда широко разпространена разширена верификация на акаунти. Отделно за поддържащите и администраторите на 500-те най-популярни NPM пакета в началото на следващата година ще бъде внедрена задължителна двуфакторна аутентификация.

От 7 декември 2021 до 4 януари 2022 ще бъде извършен превод на всички мейнтейньори, които имат право да публикуват NPM пакети, но не използват двуфакторна аутентификация, към използване на разширена верификация на акаунти. Разширената верификация изисква въвеждане на еднократен код, изпратен на имейл при опит за вход в сайта npmjs.com или извършване на аутентифицирана операция в инструмента npm.

Разширената верификация не заменя, а само допълва предишната опционална двуфакторна аутентификация, при която е необходимо потвърждение с еднократни пароли (TOTP). При активирана двуфакторна аутентификация разширената верификация по имейл не се прилага. От 1 февруари 2022 ще започне процесът на преминаване към задължителна двуфакторна аутентификация за поддържащите 100-те най-популярни NPM пакета с най-много зависимости. След завършване на миграцията на първата стотица, промяната ще бъде разпространена и на 500-те най-популярни по брой зависимости NPM пакета.

Освен наличната в момента схема за двуфакторна аутентификация, базирана на приложения за генериране на еднократни пароли (Authy, Google Authenticator, FreeOTP и т.н.), през април 2022 г. се планира добавяне на възможност за използване на хардуерни ключове и биометрични скенери, които имат подкрепа за протокол WebAuthn, както и възможност за регистрация и управление на различни допълнителни фактори за аутентификация.

Напомняме, че съгласно проведено през 2020 г. проучване, само 9.27% от поддържачите на пакети използват двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците се опитват да преизползват компрометирани пароли, появяващи се в известни течове на пароли. При проверката на надеждността на използваните пароли е станало възможно да се получи достъп до 12% от акаунтите в NPM (13% от пакетите) поради използването на предсказуеми и тривиални пароли, като „123456“. В число на проблемните попадат 4 акаунта на потребители от Top20 най-популярни пакети, 13 акаунта, чийто пакети са сваляли повече от 50 млн. пъти на месец, 40 — с повече от 10 млн. сваляния на месец и 282 с над 1 млн. сваляния на месец. С оглед на зареждането на модули по вериги от зависимости, компрометирането на ненадеждни акаунти е можело да засегне до 52% от всички модули в NPM.

Източник: opennet.ru