В репозитории NPM включено применение обязательной двухфакторной аутентификации для учётных записей сопровождающих 500 самых популярных NPM-пакетов. В качестве критерия популярности использовано число зависимых пакетов. Сопровождающие попавших в список пакетов смогут выполнить связанные с внесением изменений операции с репозиторием только после включения двухфакторной аутентификации, требующей подтверждения входа при помощи одноразовых паролей (TOTP), генерируемых такими приложениями, как Authy, Google Authenticator и FreeOTP, или аппаратных ключей и биометрических сканеров, поддерживающих протокол WebAuth.
Это третий этап усиления защиты NPM от компрометации учётных записей. На первом этапе был выполнен перевод всех учётных записей NPM, для которых не включена двухфакторная аутентификация, на использование расширенной верификации учётных записей, которая требует ввода одноразового кода, отправляемого на email при попытке входа на сайт npmjs.com или выполнения аутентифицируемой операции в утилите npm. На втором этапе обязательная двухфакторная аутентификация была включена для 100 самых популярных пакетов.
Tuletame meelde, et 2020. aastal läbi viidud uuringu kohaselt kasutas vaid 9,27% paketihaldajatest sisselogimise kaitsmiseks kahefaktorilist autentimist. 13,37% juhtudel püüdsid arendajad uute kontode registreerimisel taaskasutada tuntud lekete kaudu kompromiteeritud paroole. Paroolide usaldusväärsuse kontrollimise käigus saadi ligipääs 12% NPM kontodest (13% paketist) ennustatavate ja triviaalsete paroolide, nagu „123456”, kasutamise tõttu. Probleemsete seas olid 4 kasutajakontot Top20 populaarses paketis, 13 kontot, mille paketid olid kuus alla laaditud rohkem kui 50 miljonit korda, 40 – rohkem kui 10 miljonit allalaadimist kuus ja 282 kontot, millel oli rohkem kui 1 miljon allalaadimist kuus. Arvestades sõltuvusmoodulite allalaadimist, võisid kompromiteeritud usaldusväärsed kontod kahjustada kokku kuni 52% kõigist NPM moodulitest.
Allikas: opennet.ru
