GitHub מיישמת אימות חשבון משופר חובה ב-NPM

בשל המקרים ההולכים וגדלים של חטיפת מאגרים של פרויקטים גדולים וקוד זדוני מקודם באמצעות פשרה של חשבונות מפתחים, GitHub מציגה אימות חשבון מורחב נרחב. בנפרד, אימות דו-גורמי חובה יוכנס למתחילים ולמנהלים של 500 חבילות ה-NPM הפופולריות ביותר בתחילת השנה הבאה.

מ-7 בדצמבר 2021 עד 4 בינואר 2022, כל המתחזקים שיש להם את הזכות לפרסם חבילות NPM, אך אינם משתמשים באימות דו-גורמי, יעברו להשתמש באימות חשבון מורחב. אימות מתקדם מחייב הזנת קוד חד פעמי שנשלח בדוא"ל בעת ניסיון להיכנס לאתר npmjs.com או לבצע פעולה מאומתת בכלי השירות npm.

אימות משופר אינו מחליף, אלא רק משלים, את האימות הדו-גורמי האופציונלי הזמין בעבר, הדורש אישור באמצעות סיסמאות חד פעמיות (TOTP). כאשר אימות דו-שלבי מופעל, אימות דוא"ל מורחב אינו מוחל. החל מה-1 בפברואר 2022, תהליך המעבר לאימות דו-גורמי חובה יתחיל עבור המתחזקים של 100 חבילות ה-NPM הפופולריות ביותר עם המספר הגדול ביותר של תלות. לאחר השלמת המעבר של המאה הראשונים, השינוי יופץ ל-500 חבילות ה-NPM הפופולריות ביותר לפי מספר התלות.

בנוסף לסכימת האימות הדו-גורמי הזמינה כרגע המבוססת על יישומים ליצירת סיסמאות חד פעמיות (Authy, Google Authenticator, FreeOTP וכו'), באפריל 2022 הם מתכננים להוסיף את היכולת להשתמש במפתחות חומרה וסורקים ביומטריים, עבור שיש תמיכה בפרוטוקול WebAuthn, וגם יכולת רישום וניהול של גורמי אימות נוספים שונים.

בואו נזכור שלפי מחקר שנערך בשנת 2020, רק 9.27% ​​ממתחזקי החבילות משתמשים באימות דו-גורמי כדי להגן על הגישה, וב-13.37% מהמקרים, בעת רישום חשבונות חדשים, מפתחים ניסו לעשות שימוש חוזר בסיסמאות שנפרצות שהופיעו ב- דליפות סיסמא ידועות. במהלך סקירת אבטחת סיסמאות, נגשו ל-12% מחשבונות NPM (13% מהחבילות) עקב שימוש בסיסמאות צפויות וטריוויאליות כגון "123456". בין הבעייתיים שבהם היו 4 חשבונות משתמש מ-20 החבילות הפופולריות ביותר, 13 חשבונות עם חבילות שהורדו יותר מ-50 מיליון פעמים בחודש, 40 עם יותר מ-10 מיליון הורדות בחודש, ו-282 עם יותר ממיליון הורדות בחודש. בהתחשב בטעינת מודולים לאורך שרשרת תלות, התפשרות של חשבונות לא מהימנים עלולה להשפיע על עד 1% מכלל המודולים ב-NPM.

מקור: OpenNet.ru