Издаване на мениджър на пакети NPM 8.15 с поддръжка за локална проверка на целостта на пакета

GitHub обяви пускането на мениджъра на пакети NPM 8.15, включен в Node.js и използван за разпространение на JavaScript модули. Отбелязва се, че повече от 5 милиарда пакета се изтеглят през NPM всеки ден.

Ключови промени:

• Добавена е нова команда „одитни подписи“ за извършване на локален одит на целостта на инсталираните пакети, което не изисква манипулации с PGP помощни програми. Новият механизъм за проверка се основава на използването на цифрови подписи, базирани на алгоритъма ECDSA и използването на HSM (Hardware Security Module) за управление на ключове. Всички пакети в хранилището на NPM вече са преподписани с помощта на новата схема.
• Подобреното двуфакторно удостоверяване е обявено за достъпно за широко използване. Добавен е опростен процес на влизане и публикуване към npm CLI, работещ през браузъра. Когато посочите опцията „—auth-type=web“, за удостоверяване на акаунта се използва уеб интерфейс, който се отваря в браузър. Параметрите на сесията се запомнят. За да установите сесия, трябва да потвърдите имейла си с помощта на еднократни пароли (OTP), а когато извършвате операции във вече установени сесии, трябва само да потвърдите втория етап на двуфакторна автентификация. Осигурен е режим на запомняне, който ви позволява да извършвате операции за публикуване в рамките на 5 минути от същия IP адрес и със същия токен без допълнителни подкани за двуфакторно удостоверяване.
• Осигурена възможност за свързване на акаунти в GitHub и Twitter с NPM, което ви позволява да се свържете с NPM, като използвате вашите акаунти в GitHub и Twitter.

Допълнителни планове споменават включването на задължително двуфакторно удостоверяване за акаунти, свързани с пакети, които имат повече от 1 милион изтегляния на седмица или имат повече от 500 зависими пакета. В момента задължителното двуфакторно удостоверяване се прилага само към най-добрите 500 пакета.

Източник: opennet.ru