NPM כולל אימות דו-גורמי חובה עבור 500 החבילות הפופולריות ביותר

מאגר ה-NPM כולל אימות דו-גורמי חובה עבור חשבונות המתחזקים את 500 חבילות ה-NPM הפופולריות ביותר. מספר החבילות התלויות שימש כקריטריון פופולריות. מנהלי החבילות הרשומות יוכלו לבצע פעולות הקשורות לשינויים במאגר רק לאחר הפעלת אימות דו-גורמי, המצריך אישור כניסה באמצעות סיסמאות חד פעמיות (TOTP) שנוצרו על ידי יישומים כגון Authy, Google Authenticator ו- FreeOTP, או מפתחות חומרה וסורקים ביומטריים, התומכים בפרוטוקול WebAuth.

זהו השלב השלישי של חיזוק ההגנה של NPM מפני פגיעה בחשבון. השלב הראשון כלל המרת כל חשבונות NPM שאין להם אימות דו-שלבי מופעל לשימוש באימות חשבון מתקדם, המחייב הזנת קוד חד פעמי שנשלח בדוא"ל בעת ניסיון להיכנס ל-npmjs.com או לבצע פעולה מאומתת ב-npm תוֹעֶלֶת. בשלב השני, אימות דו-גורמי חובה הופעל עבור 100 החבילות הפופולריות ביותר.

בואו נזכור שלפי מחקר שנערך בשנת 2020, רק 9.27% ​​ממתחזקי החבילות השתמשו באימות דו-שלבי כדי להגן על הגישה, וב-13.37% מהמקרים, בעת רישום חשבונות חדשים, מפתחים ניסו לעשות שימוש חוזר בסיסמאות שנפרצות שהופיעו ב-ידועים דליפות סיסמא. במהלך סקירת אבטחת סיסמאות, נגשו ל-12% מחשבונות NPM (13% מהחבילות) עקב שימוש בסיסמאות צפויות וטריוויאליות כגון "123456". בין הבעייתיים שבהם היו 4 חשבונות משתמש מ-20 החבילות הפופולריות ביותר, 13 חשבונות עם חבילות שהורדו יותר מ-50 מיליון פעמים בחודש, 40 עם יותר מ-10 מיליון הורדות בחודש, ו-282 עם יותר ממיליון הורדות בחודש. בהתחשב בטעינת מודולים לאורך שרשרת תלות, התפשרות של חשבונות לא מהימנים עלולה להשפיע על עד 1% מכלל המודולים ב-NPM.

מקור: OpenNet.ru