GitHub NPM में अनिवार्य उन्नत खाता सत्यापन लागू करता है

बड़ी परियोजनाओं के रिपॉजिटरी के अपहरण और डेवलपर खातों के समझौते के माध्यम से दुर्भावनापूर्ण कोड को बढ़ावा देने के बढ़ते मामलों के कारण, GitHub व्यापक रूप से विस्तारित खाता सत्यापन शुरू कर रहा है। अगले साल की शुरुआत में 500 सबसे लोकप्रिय एनपीएम पैकेजों के अनुरक्षकों और प्रशासकों के लिए अलग से अनिवार्य दो-कारक प्रमाणीकरण पेश किया जाएगा।

7 दिसंबर, 2021 से 4 जनवरी, 2022 तक, सभी अनुरक्षक जिनके पास एनपीएम पैकेज प्रकाशित करने का अधिकार है, लेकिन दो-कारक प्रमाणीकरण का उपयोग नहीं करते हैं, उन्हें विस्तारित खाता सत्यापन का उपयोग करना शुरू कर दिया जाएगा। उन्नत सत्यापन के लिए npmjs.com वेबसाइट पर लॉग इन करने या एनपीएम उपयोगिता में एक प्रमाणित ऑपरेशन करने का प्रयास करते समय ईमेल द्वारा भेजे गए एक बार कोड को दर्ज करने की आवश्यकता होती है।

उन्नत सत्यापन प्रतिस्थापित नहीं करता है, बल्कि केवल पहले से उपलब्ध वैकल्पिक दो-कारक प्रमाणीकरण को पूरक करता है, जिसके लिए वन-टाइम पासवर्ड (टीओटीपी) का उपयोग करके पुष्टि की आवश्यकता होती है। जब दो-कारक प्रमाणीकरण सक्षम होता है, तो विस्तारित ईमेल सत्यापन लागू नहीं होता है। 1 फरवरी, 2022 से, सबसे बड़ी संख्या में निर्भरता वाले 100 सबसे लोकप्रिय एनपीएम पैकेजों के अनुरक्षकों के लिए अनिवार्य दो-कारक प्रमाणीकरण पर स्विच करने की प्रक्रिया शुरू हो जाएगी। पहले सौ का माइग्रेशन पूरा करने के बाद, परिवर्तन को निर्भरता की संख्या के आधार पर 500 सबसे लोकप्रिय एनपीएम पैकेजों में वितरित किया जाएगा।

वन-टाइम पासवर्ड (ऑथी, गूगल ऑथेंटिकेटर, फ्रीओटीपी, आदि) उत्पन्न करने के लिए अनुप्रयोगों पर आधारित वर्तमान में उपलब्ध दो-कारक प्रमाणीकरण योजना के अलावा, अप्रैल 2022 में वे हार्डवेयर कुंजी और बायोमेट्रिक स्कैनर का उपयोग करने की क्षमता जोड़ने की योजना बना रहे हैं। जिसमें WebAuthn प्रोटोकॉल के लिए समर्थन है, और विभिन्न अतिरिक्त प्रमाणीकरण कारकों को पंजीकृत करने और प्रबंधित करने की क्षमता भी है।

आइए याद रखें कि, 2020 में किए गए एक अध्ययन के अनुसार, केवल 9.27% ​​​​पैकेज अनुरक्षक पहुंच की सुरक्षा के लिए दो-कारक प्रमाणीकरण का उपयोग करते हैं, और 13.37% मामलों में, नए खातों को पंजीकृत करते समय, डेवलपर्स ने दिखाई देने वाले समझौता किए गए पासवर्ड का पुन: उपयोग करने का प्रयास किया। ज्ञात पासवर्ड लीक. पासवर्ड सुरक्षा समीक्षा के दौरान, "12" जैसे पूर्वानुमानित और तुच्छ पासवर्ड के उपयोग के कारण 13% एनपीएम खातों (123456% पैकेज) तक पहुंच प्राप्त की गई थी। समस्याग्रस्त लोगों में शीर्ष 4 सबसे लोकप्रिय पैकेजों में से 20 उपयोगकर्ता खाते थे, प्रति माह 13 मिलियन से अधिक डाउनलोड वाले पैकेज वाले 50 खाते, प्रति माह 40 मिलियन से अधिक डाउनलोड वाले 10 खाते, और प्रति माह 282 मिलियन से अधिक डाउनलोड वाले 1 खाते थे। निर्भरता की श्रृंखला के साथ मॉड्यूल की लोडिंग को ध्यान में रखते हुए, अविश्वसनीय खातों का समझौता एनपीएम में सभी मॉड्यूल के 52% तक को प्रभावित कर सकता है।

स्रोत: opennet.ru