GitHub har præsenteret udgivelsen af pakkeadministratoren NPM 8.15, der indgår i leverancen af Node.js og anvendes til distribution af moduler på JavaScript. Det bemærkes, at over 5 milliarder pakker downloades dagligt gennem NPM.
Nøgleændringer:
- Der er tilføjet en ny kommando "audit signatures" til udførelse af lokal audit af integriteten af installerede pakker, uden behov for manipulation med PGP-værktøjer. Den nye verifikationsmekanisme er baseret på brugen af digitale signaturer baseret på ECDSA-algoritmen og anvendelsen af HSM (Hardware Security Module) til nøgleadministration. Alle pakker i NPM-repositoriet er allerede blevet gensigneret ved hjælp af den nye ordning.
- Der er blevet annonceret udvidet to-faktor-autentifikation til almindelig brug. En forenklet proces til login og offentliggørelse i npm CLI, der fungerer gennem browseren, er blevet tilføjet. Når optionen "—auth-type=web" er angivet, åbnes et web-interface i browseren til autentifikation af kontoen. Sessionen huskes. For at etablere sessionen kræves bekræftelse af email ved hjælp af engangskoder (OTP), og ved udførelse af operationer i allerede etablerede sessioner er det tilstrækkeligt at bekræfte det andet trin i to-faktor-autentifikationen. Der tilbydes en huske-tilstand, der tillader offentliggørelse af operationer fra samme IP og med samme token uden yderligere anmodninger om to-faktor-autentifikation i en periode på 5 minutter.
- Muligheden for at knytte GitHub- og Twitter-konti til NPM er blevet givet, hvilket gør det muligt at logge ind på NPM ved hjælp af konti fra GitHub og Twitter.
Fra fremtidige planer nævnes det, at obligatorisk to-faktor-autentifikation vil blive indført for konti relateret til pakker med mere end 1 million downloads om ugen eller med mere end 500 afhængige pakker. I øjeblikket anvendes obligatorisk to-faktor-autentifikation kun for de 500 mest populære pakker.
Kilde: opennet.ru
