Das Unternehmen GitHub hat die Veröffentlichung des Paketmanagers NPM 8.15 vorgestellt, der Teil von Node.js ist und zur Verbreitung von Modulen in JavaScript verwendet wird. Es wird berichtet, dass tĂ€glich ĂŒber 5 Milliarden Pakete ĂŒber NPM heruntergeladen werden.
Wesentliche Ănderungen:
- Ein neuer Befehl âaudit signaturesâ wurde hinzugefĂŒgt, um lokale IntegritĂ€tsprĂŒfungen der installierten Pakete durchzufĂŒhren, ohne dass PGP-Tools benötigt werden. Der neue Verifizierungsmechanismus basiert auf digitalen Signaturen, die auf dem ECDSA-Algorithmus basieren, und der Verwendung von HSM (Hardware Security Module) zur Verwaltung der SchlĂŒssel. Alle Pakete im NPM-Repository sind bereits mit dem neuen Schema neu signiert worden.
- Erweiterte Zwei-Faktor-Authentifizierung wurde fĂŒr den allgemeinen Gebrauch bekannt gegeben. Ein vereinfachter Anmelde- und Veröffentlichungsprozess in der npm CLI wurde ĂŒber den Browser hinzugefĂŒgt. Bei Angabe der Option ââauth-type=webâ wird fĂŒr die Authentifizierung des Kontos eine Webschnittstelle geöffnet, die im Browser angezeigt wird. Die Sitzungsparameter werden gespeichert. Zur Einrichtung einer Sitzung muss die E-Mail durch Einmalpasswörter (OTP) bestĂ€tigt werden, wĂ€hrend bei der DurchfĂŒhrung von Operationen in bereits eingerichteten Sitzungen lediglich die zweite Stufe der Zwei-Faktor-Authentifizierung bestĂ€tigt werden muss. Es gibt einen Erinnerungsmodus, der es ermöglicht, innerhalb von 5 Minuten mit derselben IP und demselben Token Veröffentlichungsoperationen ohne zusĂ€tzliche Zwei-Faktor-Authentifizierungsanforderungen durchzufĂŒhren.
- Die Möglichkeit, GitHub- und Twitter-Konten mit NPM zu verknĂŒpfen, wurde bereitgestellt, so dass man sich bei NPM anmelden kann, indem man seine GitHub- und Twitter-Konten verwendet.
Zu den weiteren PlĂ€nen gehört die EinfĂŒhrung der verpflichtenden Zwei-Faktor-Authentifizierung fĂŒr Konten, die mit Paketen verknĂŒpft sind, die mehr als 1 Million Downloads pro Woche haben oder mehr als 500 abhĂ€ngige Pakete besitzen. Derzeit ist die verpflichtende Zwei-Faktor-Authentifizierung nur fĂŒr die 500 beliebtesten Pakete aktiv.
Quelle: opennet.ru
