A NPM-tárolóban kötelező kéttényezős hitelesítés lépett életbe a 500 legnépszerűbb NPM-csomag fenntartói fiókjai számára. A népszerűség kritériumaként a függő csomagok számát használták. A listán szereplő csomagok fenntartói azután végezhetnek el a repóval kapcsolatos változtatásokat, hogy bekapcsolták a kéttényezős hitelesítést, ami megköveteli a belépés megerősítését egy egyszeri jelszóval (TOTP), amelyet olyan alkalmazások generálnak, mint az Authy, a Google Authenticator és a FreeOTP, vagy hardveres kulcsok és biometrikus olvasók, amelyek támogatják a WebAuth protokollt.
Ez az NPM-fiókok megsértésének megakadályozására irányuló védelem megerősítésének harmadik lépcsője. Az első lépésben átállították az összes NPM-fiókot, amelynél nem aktív a kéttényezős hitelesítés, egy kibővített fiókellenőrzésre, amely megköveteli egy egyszeri kód megadását, amelyet emailben küldenek el, amikor bejelentkezés történik az npmjs.com webhelyre vagy bármilyen hitelesített műveletet hajtanak végre az npm eszközben. A második lépésben a kötelező kéttényezős hitelesítést a 100 legnépszerűbb csomag esetében vezették be.
Emlékeztetünk arra, hogy a 2020-as kutatás szerint csupán a karbantartók 9,27%-a használta a kétfaktoros hitelesítést a hozzáférés védelmére, míg az új felhasználói fiókok regisztrálásakor a fejlesztők 13,37%-ban próbálták újra felhasználni a kompromittált jelszavakat, amelyek ismert jelszózárlatokban szerepeltek. A használt jelszavak megbízhatóságának ellenőrzése során 12%-os hozzáférést nyertünk az NPM-fiókokhoz (13%-os csomagok) a kiszámítható és triviális jelszavak, mint például a '123456' használata miatt. Problémát okozott 4 felhasználói fiók a 20 legnépszerűbb csomag közül, 13 fiók, amelyek csomagjai havonta több mint 50 millió letöltést értek el, 40 fiók, amely havonta 10 milliónál több letöltést ért el, és 282 fiók, amelyek havonta több mint 1 millió letöltést végeztek. Figyelembe véve a modulként való függőségi lánc letöltését, a megbízhatatlan fiókok kompromittálása összességében akár az összes NPM-modul 52%-át is érintheti.
Forrás: opennet.ru
