Компания GitHub представи новата версия на пакетния мениджър NPM 8.15, който е включен в доставката на Node.js и се използва за разпространение на модули на JavaScript. Отбелязва се, че всеки ден чрез NPM се изтеглят над 5 милиарда пакета.
Ключови промени:
- Добавена е нова команда „audit signatures“ за провеждане на локален одит на целостта на инсталираните пакети, която не изисква манипулации с PGP инструменти. Новият механизъм за верификация е основан на използването на цифрови подписи, базирани на алгоритъм ECDSA, и на HSM (Hardware Security Module) за управление на ключовете. Всички пакети в хранилището NPM вече са презаписани с новата схема.
- Обявена е наличността на разширена двуфакторна автентикация за широко приложение. Добавен е опростен процес за вход и публикуване в npm CLI, който работи през браузъра. При задаване на опция „—auth-type=web“ за автентикация на акаунта се използва уеб интерфейс, отворен в браузъра. Параметрите на сесията се запомнят. За установяване на сесия е необходимо потвърждаване на имейл чрез еднократни пароли (OTP), а при извършване на операции в вече установени сесии е достатъчно потвърждаване на втория етап на двуфакторната автентикация. Предоставя се режим на запомняне, който позволява в продължение на 5 минути да се извършват операции по публикуване от същия IP адрес и с същия токен без допълнителни запитвания за двуфакторна автентикация.
- Предоставена е възможност за свързване на акаунти от GitHub и Twitter с NPM, което позволява свързване с NPM, използвайки акаунти в GitHub и Twitter.
В бъдещите планове се споменава включването на задължителна двуфакторна автентикация за акаунти, свързани с пакети, които имат над 1 милион изтегляния на седмица или над 500 зависими пакета. В момента задължителната двуфакторна автентикация се прилага само за 500-те най-популярни пакета.
Източник: opennet.ru
