GitHub는 NPM에서 필수 강화 계정 확인을 구현합니다.

대규모 프로젝트의 리포지토리가 하이재킹되고 개발자 계정이 손상되어 악성 코드가 홍보되는 사례가 증가함에 따라 GitHub는 광범위한 확장된 계정 확인을 도입합니다. 이와 별도로, 내년 초 가장 인기 있는 500개 NPM 패키지의 관리자와 관리자에게 필수 이중 인증이 도입될 예정입니다.

7년 2021월 4일부터 2022년 XNUMX월 XNUMX일까지 NPM 패키지를 게시할 권한이 있지만 XNUMX단계 인증을 사용하지 않는 모든 유지관리자는 확장된 계정 확인을 사용하도록 전환됩니다. 고급 검증을 위해서는 npmjs.com 웹사이트에 로그인하거나 npm 유틸리티에서 인증된 작업을 수행하려고 할 때 이메일로 전송된 일회성 코드를 입력해야 합니다.

향상된 확인은 TOTP(일회성 비밀번호)를 사용하여 확인해야 하는 이전에 사용 가능한 선택적 1단계 인증을 대체하는 것이 아니라 보완할 뿐입니다. 이중 인증이 활성화되면 확장된 이메일 확인이 적용되지 않습니다. 2022년 100월 500일부터 종속 항목 수가 가장 많은 가장 인기 있는 XNUMX개 NPM 패키지의 관리자를 대상으로 필수 XNUMX단계 인증으로 전환하는 프로세스가 시작됩니다. 처음 XNUMX개의 마이그레이션을 완료한 후 변경 사항은 종속성 수에 따라 가장 인기 있는 XNUMX개의 NPM 패키지에 배포됩니다.

일회용 비밀번호 생성을 위한 애플리케이션(Authy, Google Authenticator, FreeOTP 등)을 기반으로 현재 사용 가능한 2022단계 인증 체계 외에도 XNUMX년 XNUMX월에는 하드웨어 키 및 생체 인식 스캐너를 사용하는 기능을 추가할 계획입니다. WebAuthn 프로토콜을 지원하고 다양한 추가 인증 요소를 등록하고 관리하는 기능도 있습니다.

2020년에 실시된 연구에 따르면 패키지 관리자 중 9.27%만이 액세스 보호를 위해 13.37단계 인증을 사용하고 있으며, 12%의 경우 새 계정을 등록할 때 개발자가 유출된 비밀번호를 재사용하려고 시도했다는 사실을 기억하세요. 알려진 비밀번호 유출. 비밀번호 보안 검토 과정에서 '13'과 같이 예측 가능하고 사소한 비밀번호를 사용하여 NPM 계정의 123456%(패키지의 4%)에 액세스한 것으로 나타났습니다. 문제가 발생한 계정 중에는 가장 인기 있는 상위 20개 패키지의 사용자 계정 13개, 패키지 다운로드가 월 50천만 이상인 계정 40개, 월 다운로드 10천만 이상인 계정이 282개, 월 다운로드 1만 이상인 계정이 52개였다. 종속성 체인을 따라 모듈을 로드하는 것을 고려하면 신뢰할 수 없는 계정이 손상되면 NPM의 모든 모듈 중 최대 XNUMX%에 영향을 미칠 수 있습니다.

출처 : opennet.ru