NPM за усилване на защитата преустановява използването на TOTP 2FA и класическите токени

След нова вълна от фишинг атаки срещу поддръжката, инциденти с компрометиране на популярни пакети и появата на червеи, засягащи зависимости, в репозитория NPM беше решено да се реализират допълнителни мерки за защита:

• Двуфакторната автентикация ще стане задължителна при локална публикация на пакети.
• Използването на еднократни пароли (TOTP) за двуфакторна автентикация ще бъде обявено за остаряло. Потребителите ще бъдат преместени на протокол FIDO U2F.
• Преход към гранулирани токени, чийто срок на действие е ограничен до 7 дни. Класическите токени ще бъдат обявени за остарели и достъпът до тях по подразбиране ще бъде деактивиран.
• Прилагане на механизма „Trusted Publishers“, базиран на стандарта OpenID Connect (OIDC) и токени за автентикация с ограничен срок, които обменят външни услуги и каталог на пакети, за да потвърдят операцията по публикуване на пакет вместо да използват традиционни пароли или постоянни токени за достъп до API.

Източник: opennet.ru