След нова вълна от фишинг атаки срещу преносителите, инциденти с компрометиране на популярни пакети и поява на червеи, заразяващи зависимости, в репозитория NPM беше решено да се реализират допълнителни мерки за защита:
- Двоичната аутентификация ще стане задължителна при локално публикуване на пакети.
- Използването на еднократни пароли (TOTP) за двуфакторна аутентификация ще бъде обявено за остаряло. Потребителите ще бъдат прехвърлени на протокола FIDO U2F.
- Преминаване към гранулирани токени, чиято продължителност на живота е ограничена до 7 дни. Класическите токени ще бъдат обявени за остарели и достъпът до тях по подразбиране ще бъде деактивиран.
- Прилагане на механизма „Доверени издатели“, основан на стандарта OpenID Connect (OIDC) и токени за аутентикация с ограничено време на действие, които се обменят между външни услуги и каталога на пакети за потвърждаване на операцията по публикуване на пакет вместо използването на традиционни пароли или постоянни токени за достъп до API.
Източник: opennet.ru
