NPM에는 가장 인기 있는 상위 100개 패키지에 대한 필수 XNUMX단계 인증이 포함되어 있습니다.

GitHub는 NPM 리포지토리가 가장 많은 수의 패키지에 종속성으로 포함된 100 NPM 패키지에 대해 XNUMX단계 인증을 활성화한다고 발표했습니다. 이러한 패키지의 관리자는 이제 Authy, Google Authenticator 및 FreeOTP와 같은 애플리케이션에서 생성된 일회용 비밀번호(TOTP)를 사용하여 로그인 확인이 필요한 XNUMX단계 인증을 활성화한 후에만 인증된 저장소 작업을 수행할 수 있습니다. 가까운 시일 내에 TOTP 외에도 WebAuth 프로토콜을 지원하는 하드웨어 키 및 생체 인식 스캐너를 사용하는 기능을 추가할 계획입니다.

1월 16일에는 13단계 인증이 활성화되지 않은 모든 NPM 계정을 확장된 계정 확인을 사용하도록 이전할 계획입니다. 이 경우 npmjs.com에 로그인하거나 인증된 인증을 수행하려고 할 때 이메일로 전송된 일회성 코드를 입력해야 합니다. npm 유틸리티에서의 작업 이중 인증이 활성화되면 확장된 이메일 확인이 적용되지 않습니다. XNUMX월 XNUMX일과 XNUMX일, 하루 동안 모든 계정에 대한 확장 인증 시험 임시 출시가 진행됩니다.

2020년에 실시된 연구에 따르면 패키지 관리자 중 9.27%만이 액세스 보호를 위해 13.37단계 인증을 사용했으며, 12%의 경우 새 계정을 등록할 때 개발자가 알려진 계정에 나타난 손상된 비밀번호를 재사용하려고 시도했다는 점을 기억하세요. 비밀번호 유출. 비밀번호 보안 검토 과정에서 '13'과 같이 예측 가능하고 사소한 비밀번호를 사용하여 NPM 계정의 123456%(패키지의 4%)에 액세스한 것으로 나타났습니다. 문제가 발생한 계정 중에는 가장 인기 있는 상위 20개 패키지의 사용자 계정 13개, 패키지 다운로드가 월 50천만 이상인 계정 40개, 월 다운로드 10천만 이상인 계정이 282개, 월 다운로드 1만 이상인 계정이 52개였다. 종속성 체인을 따라 모듈을 로드하는 것을 고려하면 신뢰할 수 없는 계정이 손상되면 NPM의 모든 모듈 중 최대 XNUMX%에 영향을 미칠 수 있습니다.

출처 : opennet.ru