I NPM-repositoriet er der indført krav om obligatorisk tofaktorautentifikation for brugerkonti, der vedligeholder de 500 mest populære NPM-pakker. Populariteten er målt ud fra antallet af afhængige pakker. Vedligeholdere af de pakker, der er kommet på listen, vil kun kunne foretage ændringer i repositoriet efter at have aktiveret tofaktorautentifikation, som kræver bekræftelse af login ved hjælp af engangskoder (TOTP), genereret af applikationer som Authy, Google Authenticator og FreeOTP, eller hardware-nøgler og biometriske scannere, der understøtter WebAuth-protokollen.
Dette er det tredje trin i styrkelsen af beskyttelsen af NPM mod kompromitterede konti. I det første trin blev alle NPM-konti, for hvilke tofaktorautentifikation ikke var aktiveret, overført til at bruge udvidet kontobekræftelse, som kræver indtastning af en engangskode, der sendes til e-mail ved forsøg på at logge ind på npmjs.com eller udføre en autentificeret handling i npm-værktøjet. I det andet trin blev obligatorisk tofaktorautentifikation aktiveret for de 100 mest populære pakker.
Vi minder om, at ifølge en undersøgelse fra 2020 anvendte kun 9,27% af vedligeholderne af pakker tofaktorautentifikation for at beskytte adgangen, og i 13,37% af tilfældene forsøgte udviklere at genbruge kompromitterede adgangskoder, der fremgik af kendte lækager. Under vurderingen af pålideligheden af de anvendte adgangskoder kunne der opnås adgang til 12% af kontoerne i NPM (13% af pakkerne) på grund af brugen af forudsigelige og trivielle adgangskoder som '123456'. Blandt de problematiske konti var der 4 brugerkonti fra Top20 for de mest populære pakker, 13 konti, hvis pakker blev downloadet mere end 50 millioner gange om måneden, 40 konti med mere end 10 millioner downloads om måneden og 282 med mere end 1 million downloads om måneden. I betragtning af modulernes indlæsning gennem afhængighedskæder kunne kompromittering af usikre konti i alt ramme op til 52% af alle moduler i NPM.
Kilde: opennet.ru
