Angesichts der zunehmenden Fälle von Repository-Übernahmen großer Projekte und der Verbreitung von schadhafter Software durch die Kompromittierung von Entwicklerkonten führt GitHub eine umfassende erweiterte Kontoverifikation ein. Für die Betreuer und Administratoren der 500 beliebtesten NPM-Pakete wird zu Beginn des nächsten Jahres eine verpflichtende Zwei-Faktor-Authentifizierung eingeführt.
Vom 7. Dezember 2021 bis zum 4. Januar 2022 werden alle Maintainer, die das Recht zur Veröffentlichung von NPM-Paketen haben, aber keine Zwei-Faktor-Authentifizierung nutzen, auf die erweiterte Kontoverifikation umgestellt. Die erweiterte Verifikation erfordert die Eingabe eines einmaligen Codes, der per E-Mail gesendet wird, wenn man versucht, sich auf npmjs.com anzumelden oder eine authentifizierte Aktion im npm-Tool auszuführen.
Die erweiterte Verifikation ersetzt nicht die bisher verfügbare optionale Zwei-Faktor-Authentifizierung, bei der eine Bestätigung mittels einmaliger Passwörter (TOTP) erforderlich ist. Bei aktivierter Zwei-Faktor-Authentifizierung findet die erweiterte Verifikation per E-Mail keine Anwendung. Ab dem 1. Februar 2022 beginnt der Prozess der Umstellung auf die verpflichtende Zwei-Faktor-Authentifizierung für die Betreuer der 100 beliebtesten NPM-Pakete mit den meisten Abhängigkeiten. Nach Abschluss der Migration der ersten hundert wird die Änderung auf die 500 beliebtesten NPM-Pakete basierend auf der Anzahl der Abhängigkeiten ausgeweitet.
Neben dem derzeit verfügbaren Schema der Zwei-Faktor-Authentifizierung basierend auf Apps zur Generierung einmaliger Passwörter (Authy, Google Authenticator, FreeOTP usw.) wird im April 2022 die Möglichkeit hinzugefügt, Hardware-Schlüssel und biometrische Scanner zu verwenden, die das WebAuthn-Protokoll unterstützen, sowie die Möglichkeit, verschiedene zusätzliche Authentifizierungsfaktoren zu registrieren und zu verwalten.
Wir erinnern daran, dass laut einer Untersuchung aus dem Jahr 2020 nur 9,27 % der Maintainer von Paketen Zwei-Faktor-Authentifizierung zum Schutz ihres Zugangs nutzen, und in 13,37 % der Fälle versuchten Entwickler, bei der Registrierung neuer Konten kompromittierte Passwörter zu wiederverwenden, die in bekannten Passwortlecks vorkommen. Bei der Überprüfung der Qualität der verwendeten Passwörter konnte auf 12 % der Konten in NPM (13 % der Pakete) aufgrund der Nutzung vorhersehbarer und trivialer Passwörter wie „123456“ zugegriffen werden. Zu den problematischen gehörten 4 Benutzerkonten aus den Top 20 der beliebtesten Pakete, 13 Konten, deren Pakete mehr als 50 Millionen Mal im Monat heruntergeladen wurden, 40 mit mehr als 10 Millionen Downloads pro Monat und 282 mit mehr als 1 Million Downloads pro Monat. Unter Berücksichtigung der Modul-Downloads über Abhängigkeiten hinweg könnte die Kompromittierung unsicherer Konten insgesamt bis zu 52 % aller Module in NPM betroffen haben.
Quelle: opennet.ru
