GitHub ha annunciato il rilascio del gestore di pacchetti NPM 8.15, incluso in Node.js e utilizzato per la distribuzione di moduli JavaScript. Si segnala che ogni giorno vengono scaricati oltre 5 miliardi di pacchetti tramite NPM.
Principali modifiche:
- È stato aggiunto un nuovo comando 'audit signatures' per eseguire audit locali dell'integrità dei pacchetti installati, senza richiedere manipolazioni con strumenti PGP. Il nuovo meccanismo di verifica si basa sull'uso di firme digitali generate con l'algoritmo ECDSA e sull'uso di HSM (Hardware Security Module) per la gestione delle chiavi. Tutti i pacchetti nel repository NPM sono già stati ripetutamente firmati utilizzando il nuovo schema.
- È stata annunciata l'introduzione della registrazione avanzata con due fattori, ora disponibile per tutti. È stato aggiunto un processo semplificato per l'accesso e la pubblicazione tramite npm CLI, che funziona attraverso il browser. Utilizzando l'opzione «—auth-type=web», si può autenticare l'account tramite un'interfaccia web aperta nel browser. Le opzioni di sessione vengono salvate. Per avviare una sessione è necessario confermare l'email tramite password usa e getta (OTP), e per le operazioni in sessioni già avviate è sufficiente confermare il secondo passaggio dell'autenticazione a due fattori. È disponibile una modalità di mantenimento che consente di pubblicare per 5 minuti dallo stesso IP e con lo stesso token senza ulteriori richieste di autenticazione a due fattori.
- È stata introdotta la possibilità di collegare account GitHub e Twitter a NPM, consentendo l'accesso a NPM utilizzando gli account GitHub e Twitter.
Tra i progetti futuri si prevede l'introduzione obbligatoria dell'autenticazione a due fattori per gli account legati ai pacchetti che superano 1 milione di download a settimana o che hanno più di 500 pacchetti dipendenti. Attualmente, l'autenticazione a due fattori è obbligatoria solo per i 500 pacchetti più popolari.
Fonte: opennet.ru
