एनपीएम में शीर्ष 500 सबसे लोकप्रिय पैकेजों के लिए अनिवार्य दो-कारक प्रमाणीकरण शामिल है

एनपीएम रिपॉजिटरी में 500 सबसे लोकप्रिय एनपीएम पैकेजों को बनाए रखने वाले खातों के लिए अनिवार्य दो-कारक प्रमाणीकरण शामिल है। आश्रित पैकेजों की संख्या का उपयोग लोकप्रियता मानदंड के रूप में किया गया था। सूचीबद्ध पैकेजों के अनुरक्षक केवल दो-कारक प्रमाणीकरण सक्षम करने के बाद रिपॉजिटरी पर संशोधन-संबंधी संचालन करने में सक्षम होंगे, जिसके लिए ऑथी, Google प्रमाणक और फ्रीओटीपी, या हार्डवेयर जैसे अनुप्रयोगों द्वारा उत्पन्न वन-टाइम पासवर्ड (टीओटीपी) का उपयोग करके लॉगिन पुष्टि की आवश्यकता होती है। कुंजी और बायोमेट्रिक स्कैनर, WebAuth प्रोटोकॉल का समर्थन करते हैं।

यह खाता समझौता के विरुद्ध एनपीएम की सुरक्षा को मजबूत करने का तीसरा चरण है। पहले चरण में उन सभी एनपीएम खातों को परिवर्तित करना शामिल था जिनके पास उन्नत खाता सत्यापन का उपयोग करने के लिए दो-कारक प्रमाणीकरण सक्षम नहीं है, जिसके लिए npmjs.com में लॉग इन करने या एनपीएम में एक प्रमाणित ऑपरेशन करने का प्रयास करते समय ईमेल द्वारा भेजे गए एक बार कोड दर्ज करने की आवश्यकता होती है। उपयोगिता। दूसरे चरण में, 100 सबसे लोकप्रिय पैकेजों के लिए अनिवार्य दो-कारक प्रमाणीकरण सक्षम किया गया था।

आइए याद रखें कि 2020 में किए गए एक अध्ययन के अनुसार, केवल 9.27% ​​​​पैकेज अनुरक्षकों ने पहुंच की सुरक्षा के लिए दो-कारक प्रमाणीकरण का उपयोग किया, और 13.37% मामलों में, नए खातों को पंजीकृत करते समय, डेवलपर्स ने समझौता किए गए पासवर्ड का पुन: उपयोग करने का प्रयास किया जो ज्ञात में दिखाई दिए पासवर्ड लीक. पासवर्ड सुरक्षा समीक्षा के दौरान, "12" जैसे पूर्वानुमानित और तुच्छ पासवर्ड के उपयोग के कारण 13% एनपीएम खातों (123456% पैकेज) तक पहुंच प्राप्त की गई थी। समस्याग्रस्त लोगों में शीर्ष 4 सबसे लोकप्रिय पैकेजों में से 20 उपयोगकर्ता खाते थे, प्रति माह 13 मिलियन से अधिक डाउनलोड वाले पैकेज वाले 50 खाते, प्रति माह 40 मिलियन से अधिक डाउनलोड वाले 10 खाते, और प्रति माह 282 मिलियन से अधिक डाउनलोड वाले 1 खाते थे। निर्भरता की श्रृंखला के साथ मॉड्यूल की लोडिंग को ध्यान में रखते हुए, अविश्वसनीय खातों का समझौता एनपीएम में सभी मॉड्यूल के 52% तक को प्रभावित कर सकता है।

स्रोत: opennet.ru