Das Unternehmen GitHub hat die Veröffentlichung des Paketmanagers NPM 8.15 vorgestellt, der Teil von Node.js ist und zur Verbreitung von Modulen in JavaScript verwendet wird. Es wird berichtet, dass täglich über 5 Milliarden Pakete über NPM heruntergeladen werden.
Wesentliche Änderungen:
- Ein neuer Befehl „audit signatures“ wurde hinzugefügt, um lokale Integritätsprüfungen der installierten Pakete durchzuführen, ohne dass PGP-Tools benötigt werden. Der neue Verifizierungsmechanismus basiert auf digitalen Signaturen, die auf dem ECDSA-Algorithmus basieren, und der Verwendung von HSM (Hardware Security Module) zur Verwaltung der Schlüssel. Alle Pakete im NPM-Repository sind bereits mit dem neuen Schema neu signiert worden.
- Erweiterte Zwei-Faktor-Authentifizierung wurde für den allgemeinen Gebrauch bekannt gegeben. Ein vereinfachter Anmelde- und Veröffentlichungsprozess in der npm CLI wurde über den Browser hinzugefügt. Bei Angabe der Option „—auth-type=web“ wird für die Authentifizierung des Kontos eine Webschnittstelle geöffnet, die im Browser angezeigt wird. Die Sitzungsparameter werden gespeichert. Zur Einrichtung einer Sitzung muss die E-Mail durch Einmalpasswörter (OTP) bestätigt werden, während bei der Durchführung von Operationen in bereits eingerichteten Sitzungen lediglich die zweite Stufe der Zwei-Faktor-Authentifizierung bestätigt werden muss. Es gibt einen Erinnerungsmodus, der es ermöglicht, innerhalb von 5 Minuten mit derselben IP und demselben Token Veröffentlichungsoperationen ohne zusätzliche Zwei-Faktor-Authentifizierungsanforderungen durchzuführen.
- Die Möglichkeit, GitHub- und Twitter-Konten mit NPM zu verknüpfen, wurde bereitgestellt, so dass man sich bei NPM anmelden kann, indem man seine GitHub- und Twitter-Konten verwendet.
Zu den weiteren Plänen gehört die Einführung der verpflichtenden Zwei-Faktor-Authentifizierung für Konten, die mit Paketen verknüpft sind, die mehr als 1 Million Downloads pro Woche haben oder mehr als 500 abhängige Pakete besitzen. Derzeit ist die verpflichtende Zwei-Faktor-Authentifizierung nur für die 500 beliebtesten Pakete aktiv.
Quelle: opennet.ru
