A GitHub bejelentette az NPM 8.15 csomagkezelő kiadását, amely a Node.js részeként érkezik, és a JavaScript modulok terjesztésére használják. Megjegyzik, hogy naponta több mint 5 milliárd csomagot töltenek le az NPM-en keresztül.
Kulcsfontosságú változások:
- Új "audit signatures" parancsot adtak hozzá a telepített csomagok helyi integritásának auditálásához, amely nem igényel PGP eszközökkel való manipulációt. Az új verifikálási mechanizmus az ECDSA algoritmus alapú digitális aláírásokat és a kulcsok kezeléséhez szükséges HSM (Hardver biztonsági modul) használatát alkalmazza. Az összes csomagot az NPM tárolójában már újra aláírták az új séma szerint.
- Kinyilvánították a kibővített kétfaktoros hitelesítés széleskörű elérhetőségét. Egyszerűsített belépési és közzétételi folyamatot vezettek be az npm CLI számára, amely böngészőn keresztül működik. A "—auth-type=web" opció megadásával a fiók hitelesítéséhez böngészőben megnyíló webes felületet használnak. A munkamenet beállításai tárolódnak. A munkamenet létrehozásához e-mail megerősítést kell kérni egyszeri jelszavakkal (OTP), míg a már létrehozott munkamenetekben végzett műveletekhez elegendő a kétfaktoros hitelesítés második lépésének megerősítése. A tárolási mód lehetővé teszi, hogy az adott IP-címről és ugyanazzal a tokennel 5 percig közzétételi műveleteket végezzünk további kétfaktoros hitelesítési kérelmek nélkül.
- Lehetőség nyílt a GitHub és a Twitter fiókok NPM-hez való kapcsolására, amely lehetővé teszi az NPM-hez való hozzáférést a GitHub és Twitter fiókok használatával.
A jövőbeli tervekből említést nyer, hogy kötelezővé válik a kétfaktoros hitelesítés az olyan fiókok számára, amelyek olyan csomagokhoz kapcsolódnak, amelyek több mint 1 milliós heti letöltéssel rendelkeznek, vagy több mint 500 függő csomagjuk van. Jelenleg a kötelező kétfaktoros hitelesítést csak az 500 legnépszerűbb csomagra alkalmazzák.
Forrás: opennet.ru
