GitHub har annonceret, at der i NPM-repositorierne indføres obligatorisk to-faktor-autentificering for 100 NPM-pakker, der er inkluderet som afhængigheder i det største antal pakker. Udviklere af disse pakker vil fremover kunne udføre autentificeringskrævende operationer med repositoriet først efter aktivering af to-faktor-autentificering, som kræver bekræftelse ved hjælp af engangskoder (TOTP), der genereres af applikationer som Authy, Google Authenticator og FreeOTP. Snart forventes det ud over TOTP at inkludere muligheden for at bruge hardware-nøgler og biometriske scannere, der understøtter WebAuth-protokollen.
Den 1. marts er det planlagt, at alle NPM-konti, der ikke har aktiveret to-faktor-autentificering, overgår til brugen af udvidet konto-verifikation, hvilket kræver indtastning af en engangskode sendt til e-mailen, når der forsøges at logge ind på npmjs.com eller udføre en autentificeringskrævende operation i npm-værktøjet. Ved aktivering af to-faktor-autentificering gælder den udvidede verifikation via e-mail ikke. Den 16. og 13. februar vil der blive gennemført et prøve-setup af den udvidede verifikation for alle konti i 24 timer.
Vi minder om, at ifølge en undersøgelse fra 2020 anvendte kun 9,27% af vedligeholderne af pakker tofaktorautentifikation for at beskytte adgangen, og i 13,37% af tilfældene forsøgte udviklere at genbruge kompromitterede adgangskoder, der fremgik af kendte lækager. Under vurderingen af pålideligheden af de anvendte adgangskoder kunne der opnås adgang til 12% af kontoerne i NPM (13% af pakkerne) på grund af brugen af forudsigelige og trivielle adgangskoder som '123456'. Blandt de problematiske konti var der 4 brugerkonti fra Top20 for de mest populære pakker, 13 konti, hvis pakker blev downloadet mere end 50 millioner gange om måneden, 40 konti med mere end 10 millioner downloads om måneden og 282 med mere end 1 million downloads om måneden. I betragtning af modulernes indlæsning gennem afhængighedskæder kunne kompromittering af usikre konti i alt ramme op til 52% af alle moduler i NPM.
Kilde: opennet.ru
