GitHub rakendab NPM-is kohustuslikku ulatuslikku konto verifitseerimist

Seoses suurenenud juhtumitega, kus suured projektide repositoryd on kokku võetud ja pahatahtlik kood on edastatud arendajate kontode kompromiteerimise kaudu, alustab GitHub laialdast konto kaitse täiendavat verifitseerimist. Eraldi on plaanis kohaldada 500 kõige populaarsema NPM-paketi hooldajaid ja administraatoreid kohustuslikku kahefaktorilist autentimist järgmise aasta alguses.

Ajavahemikus 7. detsember 2021 kuni 4. jaanuar 2022 toimub kõikide NPM-pakettide hooldajate, kes saavad avaldada pakette, kuid ei kasuta kahefaktorilist autentimist, üleviimine täiendava konto verifitseerimise kasutamisele. Täiendav verifitseerimine tähendab, et sisselogimise katse ajal npmjs.com saidile või autentimist nõudva toimingu teostamisel tuleb sisestada ühekordne kood, mis saadetakse e-postile.

Täiendav verifitseerimine ei asenda varasemaid valikulisi kahefaktorilisi autentimistüüpe, kus nõutakse ühekordsete paroolide (TOTP) kinnitamist. Kui kahefaktoriline autentimine on sisse lülitatud, ei rakendata täiendavat e-posti verifitseerimist. Alates 1. veebruarist 2022 algab protsess kohustusliku kahefaktorilise autentimise rakendamiseks 100 kõige populaarsemas NPM-paketis, millel on kõige rohkem sõltuvusi. Pärast esimese sada migratsiooni laieneb muudatus 500 kõige populaarsemasse NPM-paketti, millel on kõige rohkem sõltuvusi.

Lisaks olemasolevale kahefaktoriliseks autentimiseks mõeldud rakenduste põhisele lahendusele (Authy, Google Authenticator, FreeOTP jne) plaanitakse aprillis 2022 lisada võimalus kasutada riistvaralisi võtmeid ja biomeetrilisi skenereid, mis toetavad WebAuthn protokolli, ja võimalust registreerida ning hallata erinevaid täiendavaid autentimise faktoreid.

Tuletame meelde, et 2020. aastal läbi viidud uuringu kohaselt kasutab vaid 9,27% pakettide hooldajatest kahefaktorilist autentimist, et kaitsta juurdepääsu, ja 13,37% juhtudest üritasid arendajad uute kontode registreerimisel korduvkasutada kompromiteeritud paroole, mis on toodud tuntud paroolilekete nimekirjas. Paroolide usaldusväärsuse kontrollimisel suudeti pääseda 12% NPM-i kontodele (13% pakettidest) tänu ennustatavatele ja triviaalsetele paroolidele, nagu „123456“. Probleemsete hulka kuulus 4 konto Top20 kõige populaarsemast paketist, 13 kontot, mille paketid laaditi alla üle 50 miljoni korra kuus, 40 — üle 10 miljoni allalaadimise kuus ja 282 accounti, millel on üle miljoni allalaadimise kuus. Arvestades moodulite allalaadimist sõltuvuste ahelas, võiks ebaturvaliste kontode kompromiteerimine mõjutada kuni 52% kõigist NPM moodulitest.

Allikas: opennet.ru