GitHub спроведува задолжителна подобрена верификација на сметката во NPM

Поради зголемените случаи на киднапирање на складишта на големи проекти и промовирање на злонамерен код преку компромис на сметките на програмерите, GitHub воведува широко распространета проширена проверка на сметките. Одделно, задолжителната двофакторна автентикација ќе биде воведена за одржувачите и администраторите на 500-те најпопуларни NPM пакети на почетокот на следната година.

Од 7 декември 2021 година до 4 јануари 2022 година, сите одржувачи кои имаат право да објавуваат NPM пакети, но не користат двофакторна автентикација, ќе бидат префрлени на користење на проширена верификација на сметката. Напредната верификација бара внесување на еднократен код испратен по е-пошта кога се обидувате да се најавите на веб-локацијата npmjs.com или да извршите автентицирана операција во алатката npm.

Засилената верификација не ја заменува, туку само ја надополнува претходно достапната опционална двофакторна автентикација, која бара потврда со користење на еднократни лозинки (TOTP). Кога е овозможена двофакторна автентикација, проширената проверка на е-пошта не се применува. Почнувајќи од 1 февруари 2022 година, ќе започне процесот на префрлување на задолжителна двофакторна автентикација за одржувачите на 100-те најпопуларни NPM пакети со најголем број на зависности. По завршувањето на миграцијата на првите сто, промената ќе биде дистрибуирана до 500-те најпопуларни NPM пакети по број на зависности.

Покрај моментално достапната двофакторна шема за автентикација базирана на апликации за генерирање еднократни лозинки (Authy, Google Authenticator, FreeOTP итн.), во април 2022 година планираат да додадат можност за користење хардверски клучеви и биометриски скенери, за кој има поддршка за протоколот WebAuthn, а исто така и можност за регистрирање и управување со различни дополнителни фактори за автентикација.

Да потсетиме дека, според студијата спроведена во 2020 година, само 9.27% од одржувачите на пакети користат двофакторна автентикација за да го заштитат пристапот, а во 13.37% од случаите, при регистрација на нови сметки, програмерите се обиделе повторно да ги користат компромитирани лозинки што се појавиле во протекување на познати лозинки. За време на безбедносната проверка на лозинката, до 12% од сметките на NPM (13% од пакетите) беше пристапено поради употребата на предвидливи и тривијални лозинки како „123456“. Меѓу проблематичните беа 4 кориснички сметки од Топ 20 најпопуларни пакети, 13 сметки со пакети преземени повеќе од 50 милиони пати месечно, 40 со повеќе од 10 милиони преземања месечно и 282 со повеќе од 1 милион преземања месечно. Земајќи го предвид вчитувањето на модулите долж синџирот на зависности, компромисот на недоверливите сметки може да влијае на до 52% од сите модули во NPM.

Извор: opennet.ru