Pakihalduri NPM 8.15 väljaanne koos kohaliku pakettide terviklikkuse kontrollimise toega

GitHub tutvustas NPM 8.15 paketihalduri versiooni, mis on osa Node.js-st ja mida kasutatakse JavaScript'i moodulite levitamiseks. Igapäevaselt laaditakse NPM-i kaudu alla üle 5 miljardi paketi.

Olulised muudatused:

• Uus käsk «audit signatures» on lisatud kohaliku pakettide terviklikkuse auditi teostamiseks, mis ei nõua PGP tööriistadega manipuleerimist. Uus tõendamise mehhanism põhineb digitaalsete allkirjade kasutamisel, mis on loodud ECDSA algoritmi alusel, ja HSM-i (Hardware Security Module) kasutamisel võtmete haldamiseks. Kõik NPM-i hoidlas olevad paketid on juba ümber allkirjastatud uue süsteemi alusel.
• Sisse on viidud laialdaselt kergesti kättesaadavaks täiustatud kahefaktoriline autentimine. Tasuta on kasutusele võetud lihtsustatud sisselogimise ja npm CLI publishimise protsess, mis töötab läbi brauseri. Kui kasutada valikut „—auth-type=web”, avatakse autentimise jaoks veebiliides, mis avaneb brauseris. Seansiväärused mäletatakse. Seansi seadistamiseks on vajalik e-posti kinnitamine ühekordsete paroolide (OTP) abil, samas kui juba seadistatud sessioonides toimingute sooritamiseks piisab kahefaktorilise autentimise teise etapi kinnitamisest. On saadaval mäletamise režiim, mis võimaldab 5 minuti jooksul avaldamise toimingute sooritamist sama IP ja sama tokeniga ilma täiendavate kahefaktorilise autentimise päringuteta.
• On antud võimalus siduda GitHubi ja Twitteri kontod NPM-iga, mis võimaldab NPM-iga ühenduda, kasutades GitHubi ja Twitteri kontosid.

Edasimistes plaanides mainitakse kahe faktori autentimise kohustuslikku sisselülitamist kontodele, mis on seotud pakettidega, millel on üle 1 miljoni allalaadimise nädalas või millel on rohkem kui 500 sõltuvat paketti. Praegu rakendatakse kahe faktori autentimist ainult 500 kõige populaarsema paketi jaoks.

Allikas: opennet.ru