A seguito dell'aumento dei casi di furto di repository di grandi progetti e della diffusione di codice dannoso attraverso la compromissione degli account degli sviluppatori, GitHub implementa la verifica avanzata degli account a livello globale. Per i manutentori e gli amministratori dei 500 pacchetti NPM più popolari, la doppia autenticazione diventerà obbligatoria all'inizio del prossimo anno.
Dal 7 dicembre 2021 al 4 gennaio 2022 verrà effettuato il trasferimento di tutti i manutentori aventi diritto alla pubblicazione di pacchetti NPM, ma che non utilizzano la doppia autenticazione, verso l'utilizzo della verifica avanzata degli account. La verifica avanzata richiede l'inserimento di un codice temporaneo inviato via email durante il tentativo di accesso al sito npmjs.com o durante l'esecuzione di un'operazione autenticata nell'utility npm.
La verifica avanzata non sostituisce, ma integra la precedente opzione di doppia autenticazione, che richiede la conferma tramite codici temporanei (TOTP). Quando la doppia autenticazione è attivata, la verifica avanzata via email non viene applicata. A partire dal 1 febbraio 2022 inizierà il processo di transizione verso la doppia autenticazione obbligatoria per i manutentori dei 100 pacchetti NPM più popolari, che presentano il maggior numero di dipendenze. Dopo il completamento della migrazione del primo gruppo, la modifica sarà estesa ai 500 pacchetti NPM più popolari per numero di dipendenze.
Oltre all'attuale schema di doppia autenticazione basato su app per la generazione di codici temporanei (Authy, Google Authenticator, FreeOTP, ecc.), ad aprile 2022 si prevede di aggiungere la possibilità di utilizzare chiavi hardware e scanner biometrici che supportano il protocollo WebAuthn, oltre alla registrazione e gestione di vari fattori aggiuntivi di autenticazione.
Ricordiamo che, secondo uno studio condotto nel 2020, solo il 9,27% dei manutentori di pacchetti utilizza la doppia autenticazione per proteggere l'accesso, e nel 13,37% dei casi, durante la registrazione di nuovi account, gli sviluppatori hanno tentato di riutilizzare password comprometate che figuravano in noti leak. Verificando l'affidabilità delle password utilizzate, è stato possibile accedere al 12% degli account su NPM (13% dei pacchetti) a causa dell'uso di password prevedibili e banali, come '123456'. Tra di essi ci sono state 4 account di utenti dei Top20 pacchetti più popolari, 13 account di pacchetti che venivano scaricati più di 50 milioni di volte al mese, 40 con oltre 10 milioni di download al mese e 282 con più di 1 milione di download al mese. Tenendo conto del caricamento dei moduli tramite catene di dipendenze, la compromissione di account non sicuri avrebbe potuto colpire fino al 52% di tutti i moduli su NPM.
Fonte: opennet.ru
