L'authentification à deux facteurs obligatoire pour les 100 packages les plus populaires est maintenant incluse dans NPM

GitHub a annoncé l'activation de l'authentification à deux facteurs obligatoire pour 100 paquets NPM qui sont inclus comme dépendances dans le plus grand nombre de paquets. Les mainteneurs de ces paquets pourront désormais effectuer des opérations nécessitant une authentification dans le dépôt uniquement après avoir activé l'authentification à deux facteurs, qui requiert une confirmation de connexion à l'aide de mots de passe à usage unique (TOTP), générés par des applications telles qu'Authy, Google Authenticator et FreeOTP. Dans un avenir proche, en plus de TOTP, la possibilité d'utiliser des clés matérielles et des scanners biométriques prenant en charge le protocole WebAuth sera ajoutée.

La migration de tous les comptes NPM pour lesquels l'authentification à deux facteurs n'est pas activée vers l'utilisation de la vérification avancée des comptes, qui nécessite la saisie d'un code à usage unique envoyé par email lors de la connexion au site npmjs.com ou pour effectuer une opération authentifiée dans l'outil npm, est prévue pour le 1er mars. Lors de l'activation de l'authentification à deux facteurs, la vérification avancée par email n'est pas appliquée. Le 16 et le 13 février, un lancement temporaire de vérification avancée sera effectué pour tous les comptes pendant une journée.

Rappelons qu'une étude menée en 2020 a révélé que seulement 9,27 % des mainteneurs de paquets utilisaient l'authentification à deux facteurs pour protéger l'accès, et dans 13,37 % des cas, lors de l'enregistrement de nouveaux comptes, les développeurs tentaient de réutiliser des mots de passe compromis figurant dans des fuites de mots de passe connues. Lors de la vérification de la robustesse des mots de passe utilisés, un accès a pu être obtenu à 12 % des comptes NPM (13 % des paquets) en raison de l'utilisation de mots de passe prévisibles et triviaux, tels que « 123456 ». Parmi les comptes problématiques se trouvaient 4 comptes utilisateurs parmi les 20 paquets les plus populaires, 13 comptes dont les paquets avaient été téléchargés plus de 50 millions de fois par mois, 40 avec plus de 10 millions de téléchargements par mois et 282 avec plus d'1 million de téléchargements par mois. Étant donné le chargement des modules via des chaînes de dépendances, la compromission de comptes peu fiables pourrait toucher jusqu'à 52 % de tous les modules de NPM.

Source : opennet.ru