GitHub внедрява задължителна подобрена проверка на акаунт в NPM

Поради нарастващите случаи на хакнати хранилища на големи проекти и популяризиране на злонамерен код чрез компрометиране на акаунти на разработчици, GitHub въвежда широкоразпространена разширена проверка на акаунти. Отделно в началото на следващата година ще бъде въведена задължителна двуфакторна автентификация за поддържащите и администраторите на 500-те най-популярни NPM пакета.

От 7 декември 2021 г. до 4 януари 2022 г. всички поддържащи, които имат право да публикуват NPM пакети, но не използват двуфакторно удостоверяване, ще бъдат превключени към използване на разширена проверка на акаунта. Разширената проверка изисква да въведете еднократен код, изпратен по имейл, когато се опитате да влезете в уебсайта npmjs.com или да извършите удостоверена операция в помощната програма npm.

Подобрената проверка не замества, а само допълва наличната преди това опционална двуфакторна автентификация, която изисква потвърждение с еднократни пароли (TOTP). Когато двуфакторното удостоверяване е активирано, разширената имейл проверка не се прилага. От 1 февруари 2022 г. процесът на преминаване към задължително двуфакторно удостоверяване ще започне за поддържащите 100 най-популярни NPM пакета с най-голям брой зависимости. След завършване на миграцията на първите сто, промяната ще бъде разпределена в 500-те най-популярни NPM пакета според броя на зависимостите.

В допълнение към наличната в момента схема за двуфакторна автентификация, базирана на приложения за генериране на еднократни пароли (Authy, Google Authenticator, FreeOTP и др.), през април 2022 г. те планират да добавят възможност за използване на хардуерни ключове и биометрични скенери, за която има поддръжка за протокола WebAuthn, както и възможност за регистриране и управление на различни допълнителни фактори за удостоверяване.

Нека си припомним, че според проучване, проведено през 2020 г., само 9.27% от поддържащите пакети използват двуфакторно удостоверяване за защита на достъпа, а в 13.37% от случаите, когато регистрират нови акаунти, разработчиците се опитват да използват повторно компрометирани пароли, които се появяват в изтичане на известни пароли. По време на преглед на сигурността на паролата, 12% от акаунтите на NPM (13% от пакетите) са били достъпни поради използването на предвидими и тривиални пароли като „123456“. Сред проблемните бяха 4 потребителски акаунта от Топ 20 на най-популярните пакети, 13 акаунта с пакети, изтеглени повече от 50 милиона пъти на месец, 40 с над 10 милиона изтегляния на месец и 282 с над 1 милион изтегляния на месец. Като се вземе предвид зареждането на модули по веригата от зависимости, компрометирането на ненадеждни акаунти може да засегне до 52% от всички модули в NPM.

Източник: opennet.ru