GitHub ha presentado la versión 8.15 del gestor de paquetes NPM, incluido en la distribución de Node.js y utilizado para la distribución de módulos en JavaScript. Se señala que diariamente se descargan más de 5 mil millones de paquetes a través de NPM.
Cambios clave:
- Se ha añadido un nuevo comando 'audit signatures' para realizar auditorías locales de la integridad de los paquetes instalados, sin requerir manipulaciones con utilidades PGP. El nuevo mecanismo de verificación se basa en el uso de firmas digitales con el algoritmo ECDSA y el uso de HSM (Hardware Security Module) para la gestión de claves. Todos los paquetes en el repositorio de NPM ya han sido resignados utilizando el nuevo esquema.
- Se ha anunciado la disponibilidad de la autenticación de dos factores ampliada. Se ha añadido un proceso simplificado para iniciar sesión y publicar en npm CLI, que funciona a través del navegador. Al especificar la opción '--auth-type=web', se usa una interfaz web para la autenticación de la cuenta, que se abre en el navegador. Las opciones de sesión se recuerdan. Para establecer la sesión, se requiere confirmar el correo electrónico utilizando contraseñas de un solo uso (OTP), y al realizar operaciones en sesiones ya establecidas, solo se necesita confirmar la segunda fase de autenticación de dos factores. Se proporciona un modo de recuerdo que permite realizar operaciones de publicación durante 5 minutos desde la misma IP y con el mismo token sin solicitudes adicionales de autenticación de dos factores.
- Se ha habilitado la vinculación de cuentas de GitHub y Twitter a NPM, permitiendo acceder a NPM utilizando cuentas de GitHub y Twitter.
Entre los planes futuros se menciona la implementación obligatoria de la autenticación de dos factores para cuentas asociadas con paquetes que tengan más de 1 millón de descargas semanales o más de 500 paquetes dependientes. Actualmente, la autenticación de dos factores es obligatoria solo para los 500 paquetes más populares.
Fuente: opennet.ru
