NPM 8.15 pakihalduri juhtimine kohalikul tasandil paketide terviklikkuse kontrollimiseks

Ettevõte GitHub esitles NPM 8.15 paketihalduri väljaannet, mis kuulub Node.js komplekti ja mida kasutatakse JavaScripti moodulite levitamiseks. Öeldakse, et iga päev laaditakse NPM-i kaudu alla üle 5 miljardi paketi.

Peamised muutused:

• Uus käsk "audit signatures" on lisatud, et teostada kohalikku paketihalduri terviklikkuse auditi, mis ei nõua PGP utiliidiga manipuleerimist. Uus allkirjade kontrollimise mehhanism põhineb ECDSA algoritmile ja HSM (Hardware Security Module) kasutamisel võtmete haldamiseks. Kõik paketid NPM-i hoidlas on juba allkirjastatud uue skeemi alusel.
• Teisisõnu on kasutusele võetud laiendatud kahefaktoriline autentimine. Lisatud on lihtsustatud sisselogimise ja avaldamise protsess npm CLI-s, mis töötab brauseri kaudu. Kui kasutada"--auth-type=web" seadet, avaneb brauseris autentimise veebiliides. Sessiooni seadeid hoitakse meeles. Sessiooni seadistamiseks on vajalik e-posti kinnitamine ühekordsete paroolide (OTP) abil, ja juba seadistatud sessioonide kaudu toimingute tegemiseks piisab kahefaktorilise autentimise teise sammu kinnitamisest. Saadaval on mälu režiim, mis võimaldab samu IP-aadresse ja tokenit kasutades 5 minuti jooksul avaldamise toimingute teostamist ilma täiendava kahefaktorilise autentimise nõudeta.
• NPM-i konto sidumine GitHubi ja Twitteriga on nüüd võimalik, võimaldades siseneda NPM-i kasutades GitHubi ja Twitteri kontosid.

Edasiste plaanide hulgas on mainitud kahefaktorilise autentimise kohustuslikuks muutmine kontodele, millega seotud pakid on saanud üle 1 miljoni allalaadimise nädalas või omavad üle 500 sõltuva paketi. Praegu kehtib kohustuslik kahefaktoriline autentimine ainult 500 populaarseimale paketile.

Allikas: opennet.ru