A nagy projektek tárolóinak gyakori megszerzésével és a fejlesztők fiókjainak kompromittálásával eljuttatott rosszindulatú kódok miatt a GitHub általános kiterjesztett hitelesítést vezet be az fiókok számára. Külön a 500 legnépszerűbb NPM-csomag karbantartói és adminisztrátorai számára a következő év elején kötelező kéttényezős hitelesítést vezetnek be.
2021. december 7. és 2022. január 4. között átvinni fogják az összes karbantartót, aki NPM-csomagok publikálására jogosult, de nem használ kéttényezős hitelesítést, a kiterjesztett fiókhitelesítés használatára. A kiterjesztett hitelesítés megköveteli egy egyszer használatos kód megadását, amelyet e-mailben küldenek el, amikor belépnek az npmjs.com webhelyre vagy hitelesítéssel ellátott műveletet végeznek az npm eszközben.
A kiterjesztett hitelesítés nem váltja fel, hanem kiegészíti a korábban elérhető opcionális kéttényezős hitelesítést, amely egyszer használatos jelszavak (TOTP) megerősítését igényli. Kéttényezős hitelesítés aktiválásakor a kiterjesztett hitelesítés e-mailben nem alkalmazandó. 2022. február 1-jén megkezdődik a 100 legnépszerűbb NPM-csomag karbantartói számára kötelező kéttényezős hitelesítésre való átállás, amelyeknek a legtöbb függősége van. Az első száz migrálása után a módosítás ráfog terjedni az 500 legnépszerűbb NPM-csomagra függőségek száma szerint.
A jelenleg elérhető kéttényezős hitelesítési rendszeren felül, amely alkalmazásokon alapuló egyszer használatos jelszavakat generál (Authy, Google Authenticator, FreeOTP stb.), 2022 áprilisában tervezik a hardverkulcsok és biometrikus olvasók használatát, amelyek támogatják a WebAuthn protokollt, valamint különböző kiegészítő hitelesítési tényezők regisztrációját és kezelését.
Emlékeztetjük, hogy a 2020-as évben végzett kutatás szerint csupán a csomagfenntartók 9,27%-a alkalmaz kéttényezős hitelesítést az hozzáférés védelmére, és az esetek 13,37%-ában a fejlesztők megpróbálták újra felhasználni a kompromittált jelszavakat, amelyek ismert jelszószivárgásokban szerepeltek. A használt jelszavak megbízhatósági ellenőrzése során 12%-os hozzáférést sikerült elérni az NPM fiókjaihoz (13% csomag) a kiszámítható és triviális jelszavak, például a „123456” miatt. Problémásnak bizonyult 4 felhasználói fiók a legnépszerűbb 20 csomag közül, 13 fiók, amelyek több mint 50 millió alkalommal letöltött csomagokat, 40 — amelyek több mint 10 millió letöltést kaptak havonta, és 282 fiók, amelyek több mint 1 millió letöltést kaptak havonta. Figyelembe véve a modulok láncolatos függőségeit, a megbízhatatlan fiókok kompromittálása összességében az NPM összes moduljának akár 52%-át is érintheti.
Forrás: opennet.ru
