NPM tugevdab kaitset, loobudes TOTP 2FA ja klassikalistest tokenitest.

Pärast uut kalastamisrünnakute lainet, populaarsed paketid puudutavate kompromisside juhtumeid ja sõltuvusi ründavate ussivormide ilmumist on NPM-i repos otsustatud rakendada täiendavaid kaitsemeetmeid:

• Kaks faktorit tõendamine muutub kohustuslikuks kohalike paketihalduste puhul.
• Ühekordsete paroolide (TOTP) kasutamine kahefaktoriliseks tuvastamiseks hakkab olema vananenud. Kasutajad viiakse üle FIDO U2F protokollile.
• Üleminek granuleeritud tokenitele, mille kehtivusaeg on piiratud 7 päevaga. Klassikalised tokenid kuulutatakse vananenuks ja juurdepääs nende abiga lülitatakse vaikimisi välja.
• Kasutusele võetakse "Usaldusväärsete väljastajate" mehhanism, mis põhineb OpenID Connect (OIDC) standardil ja ajaliselt piiratud autentimistokenitel, mida vahetavad välised teenused ja paketiregistrid paketi avaldamise operatsiooni kinnitamiseks, vältides traditsioonilisi paroole või pidevaid API juurdepääsu tokeneid.

Allikas: opennet.ru