Lediglich 9,27 % der Maintainer von NPM-Paketen nutzen die Zwei-Faktor-Authentifizierung.

Adam Baldwin, der das Team leitet, das für die Sicherheit des NPM-Repositories verantwortlich ist, veröffentlichte Statistiken, die auf den Ergebnissen des letzten Jahres basieren:

• Trotzdem anhaltende Vorfälle mit der Kompromittierung von NPM-Repositories; nur 9,27 % der Paket-Maintainer verwenden zur Sicherung des Zugriffs die Zwei-Faktor-Authentifizierung.
• Bei der Registrierung versuchten 13,37 % der neuen Konten, kompromittierte Passwörter, die in bekannten Passwortlecks aufgetaucht sind, erneut zu verwenden, laut den Daten des Dienstes haveibeenpwned.com;
• Im letzten Jahr wurden 737 NPM-Token widerrufen, die versehentlich veröffentlicht im NPM-Paketregister oder in öffentlich zugänglichen Repositories auf GitHub gespeichert waren;
• Ein Diebstahl von 13 Millionen Dollar in Kryptowährung wurde verhindert, dank der Entdeckung eines Versuchs, einen Backdoor-Zugang in die Brieftasche von Komodo Agama zu integrieren.
• Die Gesamtzahl der sicherheitsrelevanten Meldungen in der NPM-Datenbank erreichte 1285, von denen 595 Berichte im Jahr 2019 erstellt wurden. Über security@npmjs.com wurden 2200 Benachrichtigungen über Sicherheitsanfälligkeiten empfangen.
• Im Laufe des Jahres wurden 11526 Transaktionen von dem Antispam-System blockiert, einschließlich solcher, die mit dem Versuch, Werbung für Torrents und Filme zu verbreiten, verbunden waren;
• Ein System zur Analyse anomalem Verhaltens hat 1,4 Millionen Berichte generiert, die über die API angefordert wurden und 15,6 TB an Daten zur Verhaltensanalyse umfassen.

Quelle: opennet.ru