NPM에는 가장 인기 있는 상위 500개 패키지에 대한 필수 XNUMX단계 인증이 포함되어 있습니다.

NPM 저장소에는 가장 인기 있는 500개의 NPM 패키지를 유지 관리하는 계정에 대한 필수 XNUMX단계 인증이 포함되어 있습니다. 종속 패키지의 수는 인기 기준으로 사용되었습니다. 나열된 패키지의 관리자는 Authy, Google Authenticator 및 FreeOTP와 같은 애플리케이션에서 생성된 일회용 비밀번호(TOTP)를 사용하여 로그인 확인이 필요한 XNUMX단계 인증을 활성화한 후에만 저장소에서 수정 관련 작업을 수행할 수 있습니다. WebAuth 프로토콜을 지원하는 하드웨어 키 및 생체 인식 스캐너.

이는 계정 도용에 대한 NPM 보호 강화의 세 번째 단계입니다. 첫 번째 단계에서는 이중 인증이 활성화되지 않은 모든 NPM 계정을 고급 계정 확인을 사용하도록 변환하는 작업이 포함되었습니다. 이를 위해서는 npmjs.com에 로그인하거나 npm에서 인증 작업을 수행하려고 할 때 이메일로 전송된 일회성 코드를 입력해야 합니다. 공익사업. 두 번째 단계에서는 가장 인기 있는 100개의 패키지에 대해 필수 XNUMX단계 인증이 활성화되었습니다.

2020년에 실시된 연구에 따르면 패키지 관리자 중 9.27%만이 액세스 보호를 위해 13.37단계 인증을 사용했으며, 12%의 경우 새 계정을 등록할 때 개발자가 알려진 계정에 나타난 손상된 비밀번호를 재사용하려고 시도했다는 점을 기억하세요. 비밀번호 유출. 비밀번호 보안 검토 과정에서 '13'과 같이 예측 가능하고 사소한 비밀번호를 사용하여 NPM 계정의 123456%(패키지의 4%)에 액세스한 것으로 나타났습니다. 문제가 발생한 계정 중에는 가장 인기 있는 상위 20개 패키지의 사용자 계정 13개, 패키지 다운로드가 월 50천만 이상인 계정 40개, 월 다운로드 10천만 이상인 계정이 282개, 월 다운로드 1만 이상인 계정이 52개였다. 종속성 체인을 따라 모듈을 로드하는 것을 고려하면 신뢰할 수 없는 계정이 손상되면 NPM의 모든 모듈 중 최대 XNUMX%에 영향을 미칠 수 있습니다.

출처 : opennet.ru