Пуск на пакетния мениджър NPM 8.15 с подкрепа за локална проверка на целостта на пакетите

Компанията GitHub представи версията на пакетния мениджър NPM 8.15, която е част от доставката на Node.js и се използва за разпространение на модули на JavaScript. Отбелязва се, че всеки ден чрез NPM се изтеглят над 5 милиарда пакета.

Ключови промени:

• Добавена е нова команда "audit signatures" за провеждане на локален одит на целостта на инсталираните пакети, без да се изискват манипулации с утилити на PGP. Новият механизъм за верификация е основан на използването на цифрови подписи на базата на алгоритма ECDSA и използването на HSM (Hardware Security Module) за управление на ключовете. Всички пакети в репозиторито NPM вече са повторно подписани с новата схема.
• Обявена е наличността на разширена двуфакторна автентикация за широко приложение. Добавен е опростен процес на вход и публикуване в npm CLI, работещ през браузъра. При задаване на опцията "--auth-type=web" за автентикация на акаунта се използва уеб-интерфейс, който се отваря в браузъра. Параметрите на сесията се запомнят. За установяване на сесия е необходимо да се потвърди имейл с помощта на еднократни пароли (OTP), а при извършване на операции в вече установени сесии е достатъчно да се потвърди вторият етап на двуфакторната автентикация. Предоставя се режим на запомняне, който позволява в течение на 5 минути да се извършват операции по публикуване от същия IP и със същия токен без допълнителни заявки за двуфакторна автентикация.
• Предоставена е възможност за свързване на акаунти в GitHub и Twitter с NPM, което позволява свързване с NPM, използвайки акаунти в GitHub и Twitter.

Сред бъдещите планове се споменава включването на задължителна двуфакторна автентикация за акаунти, свързани с пакети, които имат над 1 милион сваляния седмично или над 500 зависими пакета. В момента задължителната двуфакторна автентикация се прилага само за 500-те най-популярни пакета.

Източник: opennet.ru