Společnost GitHub představila vydání správce balíčků NPM 8.15, který je součástí dodávky Node.js a používá se k distribuci modulů v jazyce JavaScript. Je uvedeno, že každý den je prostřednictvím NPM staženo více než 5 miliard balíčků.
Klíčové změny:
- Byl přidán nový příkaz „audit signatures“ pro provádění místního auditu integrity instalovaných balíčků, který nevyžaduje manipulace s nástroji PGP. Nový verifikační mechanismus je založen na použití digitálních podpisů na bázi algoritmu ECDSA a využití HSM (Hardware Security Module) pro správu klíčů. Všechny balíčky v repozitáři NPM byly již přepisovány s použitím nové schémy.
- Byla oznámena dostupnost rozšířené dvoufaktorové autentizace pro všeobecné použití. Byla přidána zjednodušená procedura přihlášení a publikace v npm CLI, která funguje prostřednictvím prohlížeče. Při zadání volby „—auth-type=web“ se pro ověření účtu používá webové rozhraní otevřené v prohlížeči. Parametry relace jsou uchovávány. Pro nastavení relace je třeba potvrdit e-mail pomocí jednorázových hesel (OTP), a při provádění operací v již existujících relacích stačí potvrdit druhý stupeň dvoufaktorové autentizace. Je poskytován režim zapamatování, který umožňuje během 5 minut provádět operace publikace z téže IP a se stejným tokenem bez dalších požadavků na dvoufaktorovou autentizaci.
- Byla poskytnuta možnost propojení účtů GitHub a Twitter s NPM, což umožňuje připojení k NPM pomocí účtů GitHub a Twitter.
Mezi další plány bylo zmíněno zavedení povinné dvoufaktorové autentizace pro účty spojené s balíčky, které mají více než 1 milion stažení týdně nebo mají více než 500 závislých balíčků. V současné době je povinná dvoufaktorová autentizace aplikována pouze na 500 nejpopulárnějších balíčků.
Zdroj: opennet.ru
