NPM включва задължително двуфакторно удостоверяване за топ 500 пакета

NPM хранилището включва задължително двуфакторно удостоверяване за акаунти, поддържащи 500-те най-популярни NPM пакета. Броят на зависимите пакети беше използван като критерий за популярност. Поддръжниците на изброените пакети ще могат да извършват операции, свързани с модификация в хранилището, само след активиране на двуфакторно удостоверяване, което изисква потвърждение за влизане с помощта на еднократни пароли (TOTP), генерирани от приложения като Authy, Google Authenticator и FreeOTP, или хардуерни ключове и биометрични скенери, поддържащи протокола WebAuth.

Това е третият етап от укрепването на защитата на NPM срещу компрометиране на акаунта. Първият етап включва преобразуване на всички NPM акаунти, които нямат активирана двуфакторна автентификация, за да използват разширена проверка на акаунта, която изисква въвеждане на еднократен код, изпратен по имейл, когато се опитвате да влезете в npmjs.com или да извършите удостоверена операция в npm полезност. Във втората фаза беше активирана задължителна двуфакторна автентификация за 100-те най-популярни пакета.

Нека си припомним, че според проучване, проведено през 2020 г., само 9.27% от поддържащите пакети са използвали двуфакторна автентификация за защита на достъпа, а в 13.37% от случаите, когато регистрират нови акаунти, разработчиците се опитват да използват повторно компрометирани пароли, които се появяват в известни изтичане на парола. По време на преглед на сигурността на паролата, 12% от акаунтите на NPM (13% от пакетите) са били достъпни поради използването на предвидими и тривиални пароли като „123456“. Сред проблемните бяха 4 потребителски акаунта от Топ 20 на най-популярните пакети, 13 акаунта с пакети, изтеглени повече от 50 милиона пъти на месец, 40 с над 10 милиона изтегляния на месец и 282 с над 1 милион изтегляния на месец. Като се вземе предвид зареждането на модули по веригата от зависимости, компрометирането на ненадеждни акаунти може да засегне до 52% от всички модули в NPM.

Източник: opennet.ru