GitHub rakendab NPM-is kohustuslikku ulatuslikku kontode verifikatsiooni

Seoses suurenenud juhtumitega suurte projektide repode hõivamisest ja pahatahtliku koodi edendamisest arendajate kontode kompromiteerimise kaudu, kehtestab ettevõte GitHub laialdase täiustatud konto autentimise. Eraldi 500 populaarseima NPM-paketi hooldajatele ja administraatoritele kehtestatakse järgmise aasta alguses kohustuslik kahefaktoriline autentimine.

7. detsembrist 2021 kuni 4. jaanuarini 2022 kantakse kõik need hooldajad, kellel on NPM-pakettide avaldamise õigus, kuid kes ei kasuta kahefaktorilist autentimist, üle täiustatud konto autentimise kasutamisele. Täiustatud autentimine tähendab, et sisselogimisel npmjs.com või autentimise toimingu teostamisel npm utiliidis tuleb sisestada ühekordne kood, mis saadetakse e-posti aadressile.

Täiustatud autentimine ei asenda, vaid täiendab varasemalt kergelt valikulist kahefaktorilist autentimist, kus tuleb kinnitada ühekordsete paroolide (TOTP) abil. Kui kahefaktoriline autentimine on sisse lülitatud, ei rakendata e-posti põhist täiustatud autentimist. Alates 1. veebruarist 2022 alustatakse 100 populaarseima NPM-paketi hooldajate kohustuslikku üle viimist kahefaktorilisele autentimisele, mis omavad kõige rohkem sõltuvusi. Pärast esimese saja migratsiooni lõpetamist kehtestatakse muudatus 500 populaarseima NPM-paketi jaoks sõltuvuste arvu järgi.

Lisaks praegu saadaval olevale kahefaktorilisele autentimise süsteemile, mis põhineb ühekordsete paroolide genereerimise rakendustel (nt Authy, Google Authenticator, FreeOTP jms), plaanitakse aprillis 2022 lisada võimalus kasutada riistvaraklaave ja biomeetrilisi skannereid, mis toetavad WebAuthni protokolli, samuti võimalust registreerida ja hallata erinevaid täiendavaid autentimise tegureid.

Tuletame meelde, et vastavalt 2020. aastal läbi viidud uuringule kasutab vaid 9,27% paketihalduritest ligipääsu kaitsmiseks kahefaktorilist autentimist, ning 13,37% juhtudel proovisid arendajad uute kasutajakontode registreerimise käigus taaskasutada kompromiteeritud paroole, mis esinevad tuntud paroolilekete seas. Paroolide usaldusväärsuse kontrollimise käigus õnnestus pääseda ligi 12% NPM kontodest (13% paketist) tänu ettearvatavate ja triviaalsete paroolide, nagu „123456”, kasutamisele. Probleemsete hulka kuulusid 4 kasutajakontot Top20 kõige populaarseima paketi seas, 13 kasutajakontot, mille pakette laaditi üle 50 miljoni korra kuus, 40 – üle 10 miljoni laadimise kuus ja 282, millel oli üle 1 miljoni laadimise kuus. Arvestades moodulite laadimist sõltuvuste ahelas, võiks usaldamatute kontode kompromiteerimine mõjutada kokku kuni 52% kõigist NPM moodulitest.

Allikas: opennet.ru