A GitHub bejelentette, hogy az NPM tárolókban kötelezővé teszi a kétfaktoros hitelesítést a 100 NPM-csomag számára, amelyek a legnagyobb számú csomag függőségei. A fenti csomagok fenntartói ezentúl csak akkor hajthatnak végre hitelesítést igénylő műveleteket a tárolóval, ha a kétfaktoros hitelesítést aktiválták, amely egy egyszeri jelszót kér bejelentkezéskor, az Authy, a Google Authenticator vagy a FreeOTP alkalmazások által generált TOTP segítségével. A közeljövőben a TOTP mellett tervezik a hardveres kulcsok és biometriás olvasók támogatásának bevezetését is, amelyek a WebAuth protokollt használják.
Március 1-jén tervezzük az összes olyan NPM-felhasználói fiók átkonvertálását, amelyeken nincs bekapcsolva a kétfaktoros hitelesítés, egy kibővített fiókellenőrzésre, amely egy egyszeri kód megadását igényli, amely az npmjs.com webhelyre való belépés vagy az npm eszközben végrehajtott hitelesítést igénylő művelet során érkezik e-mailben. A kétfaktoros hitelesítés engedélyezésével az e-mailes kibővített ellenőrzés nem alkalmazható. Február 16-án és 13-án 24 órás próbaüzemét hajtunk végre a kibővített hitelesítésnek minden felhasználói fiókra.
Emlékeztetünk arra, hogy a 2020-as kutatás szerint csupán a karbantartók 9,27%-a használta a kétfaktoros hitelesítést a hozzáférés védelmére, míg az új felhasználói fiókok regisztrálásakor a fejlesztők 13,37%-ban próbálták újra felhasználni a kompromittált jelszavakat, amelyek ismert jelszózárlatokban szerepeltek. A használt jelszavak megbízhatóságának ellenőrzése során 12%-os hozzáférést nyertünk az NPM-fiókokhoz (13%-os csomagok) a kiszámítható és triviális jelszavak, mint például a '123456' használata miatt. Problémát okozott 4 felhasználói fiók a 20 legnépszerűbb csomag közül, 13 fiók, amelyek csomagjai havonta több mint 50 millió letöltést értek el, 40 fiók, amely havonta 10 milliónál több letöltést ért el, és 282 fiók, amelyek havonta több mint 1 millió letöltést végeztek. Figyelembe véve a modulként való függőségi lánc letöltését, a megbízhatatlan fiókok kompromittálása összességében akár az összes NPM-modul 52%-át is érintheti.
Forrás: opennet.ru
