A legújabb phishing támadások, a népszerű csomagok kompromittálása és a függőségeket támadó férgek után az NPM tárolóban további védelmi intézkedések bevezetése mellett döntöttek:
- A kétfaktoros hitelesítés kötelezővé válik a csomagok helyi publikálásakor.
- Az egyalkalmas jelszavak (TOTP) használata a kétfaktoros hitelesítéshez elavultnak lesz nyilvánítva. A felhasználókat a FIDO U2F protokollra állítják át.
- Átállás a hét napig terjedő élettartamú granulált tokenekre. A klasszikus tokeneket elavultnak nyilvánítják, a használatuk alapértelmezés szerint le lesz tiltva.
- A „Megbízható Kiadók” mechanizmus alkalmazása, amely az OpenID Connect (OIDC) szabványon és az autentikáló tokeneken alapul, amelyeket külső szolgáltatások és csomagkönyvtárak cserélnek a csomagpublikációs művelet megerősítésére hagyományos jelszavak vagy állandó API-hozzáférési tokenek helyett.
Forrás: opennet.ru
