I takt med at tilfælde af overtagelse af repositories for større projekter og promovering af skadelig kode gennem kompromittering af udvikleres konti er blevet mere hyppige, indfører GitHub obligatorisk udvidet verificering af konti. Derudover vil der for vedligeholdere og administratorer af de 500 mest populære NPM-pakker blive indført obligatorisk to-faktor-autentificering i starten af det kommende år.
Fra den 7. december 2021 til den 4. januar 2022 vil alle vedligeholdere, der har ret til at publicere NPM-pakker, men ikke bruger to-faktor-autentificering, blive overført til brugen af udvidet kontoverificering. Udvidet verificering indebærer, at der skal indtastes en engangskode, som sendes til e-mailen ved loginforsøg på npmjs.com eller ved udførelse af autentificerede operationer i npm-værktøjet.
Udvidet verificering erstatter ikke, men supplerer kun den tidligere tilgængelige optionale to-faktor-autentificering, hvor der kræves bekræftelse med engangskoder (TOTP). Når to-faktor-autentificering er aktiveret, anvendes udvidet verificering via e-mail ikke. Fra den 1. februar 2022 vil processen med at overføre til obligatorisk to-faktor-autentificering for vedligeholdere af de 100 mest populære NPM-pakker med flest afhængigheder begynde. Efter afslutningen af migrationen for den første hundrede, vil ændringen blive udvidet til de 500 mest populære NPM-pakker efter antal afhængigheder.
Ud over den nuværende to-faktor-autentificeringsordning baseret på apps til generering af engangskoder (Authy, Google Authenticator, FreeOTP osv.) planlægges det i april 2022 at tilføje muligheden for brug af hardware-nøgler og biometriske scannere, der understøtter WebAuthn-protokollen, samt muligheden for at registrere og administrere forskellige supplerende autentificeringsfaktorer.
Lad os minde om, at ifølge en undersøgelse fra 2020 bruger kun 9,27% af pakkevedligeholderne to-faktor-autentifikation til at sikre adgangen, og i 13,37% af tilfældene forsøgte udviklere at genbruge kompromitterede adgangskoder, der figurerede i kendte lækager. Under kontrollen af sikkerheden ved de anvendte adgangskoder var det muligt at få adgang til 12% af kontiene i NPM (13% af pakkerne) på grund af brugen af forudsigelige og triviale adgangskoder, såsom "123456". Blandt de problematiske var der 4 brugerprofiler fra Top20 mest populære pakker, 13 profiler til pakker, der blev downloadet mere end 50 millioner gange om måneden, 40 med over 10 millioner downloads om måneden og 282 med over 1 million downloads om måneden. I betragtning af modulernes kædeafhængigheder kunne kompromittering af usikre konti have ramt op til 52% af alle moduler i NPM.
Kilde: opennet.ru
