Efter en ny bølge af phishing-angreb på vedligeholdere, hændelser med kompromittering af populære pakker og fremkomsten af orme, der rammer afhængigheder, er det besluttet at implementere yderligere sikkerhedsforanstaltninger i NPM-repositoriet:
- To-faktor autentificering bliver obligatorisk ved lokal offentliggørelse af pakker.
- Brugen af engangskoder (TOTP) til to-faktor autentificering vil blive erklæret forældet. Brugere vil blive overført til FIDO U2F-protokollen.
- Overgang til granulerede tokens, hvis levetid er begrænset til 7 dage. Klassiske tokens vil blive erklæret forældede, og adgangen til dem vil som standard blive deaktiveret.
- Anvendelsen af mekanismen "Trusted Publishers", baseret på brugen af OpenID Connect (OIDC) standarden og autentificeringstokens med begrænset varighed, som udveksles mellem eksterne tjenester og pakkekataloget for at bekræfte publiceringsoperationen af en pakke i stedet for at bruge traditionelle adgangskoder eller permanente API-adgangstokener.
Kilde: opennet.ru
