GitHub oznámil zavedení povinné dvoufaktorové autentifikace pro 100 NPM balíčků v repozitářích NPM, které jsou zahrnuty jako závislost v největším počtu balíčků. Správci těchto balíčků nyní budou moci provádět operace vyžadující autentifikaci v repozitáři pouze po aktivaci dvoufaktorové autentifikace, která vyžaduje potvrzení přihlášení pomocí jednorázových hesel (TOTP), generovaných aplikacemi jako Authy, Google Authenticator a FreeOTP. V nejbližší době plánují kromě TOTP přidat možnost používání hardwarových klíčů a biometrických skenerů, které podporují protokol WebAuth.
Na 1. března je naplánován převod všech účtů NPM, pro které nebyla aktivována dvoufaktorová autentifikace, na používání rozšířené verifikace účtů, která vyžaduje zadání jednorázového kódu zasílaného na e-mail při pokusu o přihlášení na stránce npmjs.com nebo při provádění operace vyžadující autentizaci v nástroji npm. Při aktivaci dvoufaktorové autentifikace se rozšířená verifikace po e-mailu nepoužívá. Dne 16. a 13. února proběhne denní zkušební doba rozšířené verifikace pro všechny účty.
Připomínáme, že podle výzkumu provedeného v roce 2020 pouze 9,27 % správců balíčků používalo pro zabezpečení přístupu dvoufaktorovou autentizaci a v 13,37 % případů se při registraci nových uživatelských účtů vývojáři snažili opakovaně používat zkompromitovaná hesla, která se objevila v známých únikách hesel. Během kontroly spolehlivosti použitých hesel bylo možné získat přístup k 12 % účtů v NPM (13 % balíčků) díky používání předvídatelných a triviálních hesel, jako je „123456“. Mezi problematickými se nacházely 4 účty uživatelů z Top 20 nejpopulárnějších balíčků, 13 účtů, jejichž balíčky byly staženy více než 50 milionkrát za měsíc, 40 — více než 10 milionů stažení za měsíc a 282 s více než 1 milionem stažení za měsíc. S ohledem na stahování modulů v rámci řetězce závislostí mohla kompromitace nespolehlivých účtů zasáhnout až 52 % všech modulů v NPM.
Zdroj: opennet.ru
