V repozitáři NPM byla zavedena povinná dvoufaktorová autentizace pro účty správců 500 nejpopulárnějších balíčků NPM. Jako kritérium popularity byla použita počet závislých balíčků. Správci balíčků, které se dostaly na seznam, budou moci provádět související operace s repozitářem pouze po aktivaci dvoufaktorové autentizace, která vyžaduje potvrzení přihlášení pomocí jednorázových hesel (TOTP), generovaných aplikacemi jako Authy, Google Authenticator a FreeOTP, nebo hardwarovými klíči a biometrickými skenery podporujícími protokol WebAuth.
To je třetí fáze posílení ochrany NPM proti kompromitaci účtů. V první fázi byly všechny účty NPM, pro které není povolena dvoufaktorová autentizace, převedeny na použití rozšířené verifikace účtů, která vyžaduje zadání jednorázového kódu zaslaného na e-mail při pokusu o přihlášení na stránkách npmjs.com nebo provádění autentizovaných operací v nástroji npm. V druhé fázi byla povinná dvoufaktorová autentizace zavedena pro 100 nejpopulárnějších balíčků.
Připomínáme, že podle výzkumu provedeného v roce 2020 pouze 9,27 % správců balíčků používalo pro zabezpečení přístupu dvoufaktorovou autentizaci a v 13,37 % případů se při registraci nových uživatelských účtů vývojáři snažili opakovaně používat zkompromitovaná hesla, která se objevila v známých únikách hesel. Během kontroly spolehlivosti použitých hesel bylo možné získat přístup k 12 % účtů v NPM (13 % balíčků) díky používání předvídatelných a triviálních hesel, jako je „123456“. Mezi problematickými se nacházely 4 účty uživatelů z Top 20 nejpopulárnějších balíčků, 13 účtů, jejichž balíčky byly staženy více než 50 milionkrát za měsíc, 40 — více než 10 milionů stažení za měsíc a 282 s více než 1 milionem stažení za měsíc. S ohledem na stahování modulů v rámci řetězce závislostí mohla kompromitace nespolehlivých účtů zasáhnout až 52 % všech modulů v NPM.
Zdroj: opennet.ru
