Po nové vlně phishingových útoků na doprovody, incidentů s kompromitací populárních balíčků a výskytu červů, které napadají závislosti, bylo rozhodnuto přijmout další bezpečnostní opatření v repozitáři NPM:
- Dvoufaktorová autentizace se stane povinnou při lokálním publikování balíčků.
- Používání jednorázových hesel (TOTP) pro dvoufaktorovou autentizaci bude označeno jako zastaralé. Uživatelé budou převedeni na protokol FIDO U2F.
- Přechod na granulované tokeny, jejichž životnost je omezena na 7 dní. Klasické tokeny budou označeny jako zastaralé a přístup pomocí nich bude ve výchozím nastavení zakázán.
- Použití mechanismu „Trusted Publishers“, založeného na standardu OpenID Connect (OIDC) a autentizačních tokenů s omezenou platností, kterými si vyměňují externí služby a katalog balíčků pro potvrzení operace publikace balíčku místo tradičních hesel nebo trvalých API tokenů.
Zdroj: opennet.ru
