Sortie du gestionnaire de paquets NPM 8.15 avec prise en charge de la vérification locale de l'intégrité des paquets

GitHub a annoncé la sortie du gestionnaire de paquets NPM 8.15, inclus dans la distribution de Node.js et utilisé pour la distribution de modules en JavaScript. Il est noté que plus de 5 milliards de paquets sont téléchargés chaque jour via NPM.

Principaux changements :

• Une nouvelle commande « audit signatures » a été ajoutée pour effectuer un audit local de l'intégrité des paquets installés, sans nécessiter de manipulations avec des utilitaires PGP. Le nouveau mécanisme de vérification est basé sur des signatures numériques utilisant l'algorithme ECDSA et l'utilisation d'un HSM (Hardware Security Module) pour la gestion des clés. Tous les paquets dans le dépôt NPM ont déjà été ressautés avec le nouveau schéma.
• Une authentification à deux facteurs améliorée a été rendue disponible pour un usage général. Un processus simplifié de connexion et de publication dans npm CLI, opérant via un navigateur, a été ajouté. En spécifiant l'option « —auth-type=web » pour l'authentification du compte, une interface web s'ouvre dans le navigateur. Les paramètres de session sont mémorisés. Pour établir une session, il est nécessaire de confirmer l'email à l'aide de mots de passe à usage unique (OTP), et lors des opérations dans les sessions déjà établies, il suffit de confirmer la deuxième étape de l'authentification à deux facteurs. Un mode de mémorisation est fourni, permettant d'effectuer des opérations de publication pendant 5 minutes à partir de la même IP et avec le même token sans demandes supplémentaires d'authentification à deux facteurs.
• Il est désormais possible de lier les comptes GitHub et Twitter à NPM, permettant de se connecter à NPM en utilisant des comptes GitHub et Twitter.

Parmi les plans futurs, il est mentionné l'inclusion d'une authentification à deux facteurs obligatoire pour les comptes liés à des paquets ayant plus d'un million de téléchargements par semaine ou ayant plus de 500 paquets dépendants. Pour l'instant, l'authentification à deux facteurs obligatoire s'applique uniquement aux 500 paquets les plus populaires.

Source : opennet.ru