NPM omfettet ferplichte twa-faktor autentikaasje foar de top 100 pakketten

GitHub объявил о включении в репозитории NPM обязательной двухфакторной аутентификации для 100 NPM-пакетов, влючённых как зависимость в наибольшее число пакетов. Сопровождающие данных пакетов отныне смогут выполнить требующие аутентификации операции с репозиторием только после включения двухфакторной аутентификации, требующей подтверждения входа при помощи одноразовых паролей (TOTP), генерируемых такими приложениями, как Authy, Google Authenticator и FreeOTP. В ближайшее время помимо TOTP планируют добавить возможность использования аппаратных ключей и биометрических сканеров, поддерживающих протокол WebAuth.

На 1 марта намечен перевод всех учётных записей NPM, для которых не включена двухфакторная аутентификация, на использование расширенной верификации учётных записей, которая требует ввода одноразового кода, отправляемого на email при попытке входа на сайт npmjs.com или выполнения аутентифицируемой операции в утилите npm. При включении двухфакторной аутентификации расширенная верификация по email не применяется. 16 и 13 февраля на сутки будет осуществлён пробный временный запуск расширенной верификации для всех учётных записей.

Lit ús ûnthâlde dat neffens in stúdzje útfierd yn 2020, mar 9.27% fan pakketûnderhâlders brûkte twa-faktor autentikaasje om tagong te beskermjen, en yn 13.37% fan 'e gefallen, by it registrearjen fan nije akkounts, ûntwikkelders besochten kompromittearre wachtwurden opnij te brûken dy't ferskynden yn bekende wachtwurd lekkage. Tidens in beoardieling fan wachtwurdfeiligens waard 12% fan NPM-akkounts (13% fan pakketten) tagong krigen troch it brûken fan foarsisbere en triviale wachtwurden lykas "123456." Under de problematyske wiene 4 brûkersakkounts fan 'e Top 20 populêrste pakketten, 13 akkounts mei pakketten dy't mear dan 50 miljoen kear yn 'e moanne downloade, 40 mei mear dan 10 miljoen downloads per moanne, en 282 mei mear dan 1 miljoen downloads per moanne. Mei it rekkenjen fan it laden fan modules lâns in keten fan ôfhinklikens, kin kompromis fan net-fertroude akkounts oant 52% fan alle modules yn NPM beynfloedzje.

Boarne: opennet.ru