NPM вклучува задолжителна двофакторна автентикација за првите 100 најпопуларни пакети

GitHub објави дека складиштата на NPM овозможуваат автентикација со два фактори за 100-те NPM пакети кои се вклучени како зависност во најголемиот број пакети. Одржувачите на овие пакети сега ќе можат да вршат автентицирани операции на складиштето само откако ќе овозможат автентикација со два фактори, што бара потврда за најавување со користење на еднократни лозинки (TOTP) генерирани од апликации како Authy, Google Authenticator и FreeOTP. Во блиска иднина, покрај TOTP, планираат да додадат можност за користење на хардверски клучеви и биометриски скенери кои го поддржуваат протоколот WebAuth.

На 1 март, планирано е да се префрлат сите сметки на NPM кои немаат автентикација со два фактори за користење на проширена верификација на сметката, која бара внесување на еднократна шифра испратена по е-пошта кога се обидувате да се најавите на npmjs.com или да извршите автентицирана работа во алатката npm. Кога е овозможена двофакторна автентикација, проширената проверка на е-пошта не се применува. На 16 и 13 февруари ќе се изврши пробно привремено стартување на проширена верификација за сите сметки за еден ден.

Да потсетиме дека според студијата спроведена во 2020 година, само 9.27% од одржувачите на пакети користеле двофакторна автентикација за да го заштитат пристапот, а во 13.37% од случаите, при регистрирање нови сметки, програмерите се обиделе повторно да ги користат компромитирани лозинки кои се појавиле во познати протекување лозинка. За време на безбедносната проверка на лозинката, до 12% од сметките на NPM (13% од пакетите) беше пристапено поради употребата на предвидливи и тривијални лозинки како „123456“. Меѓу проблематичните беа 4 кориснички сметки од најпопуларните пакети Топ20, 13 сметки со пакети преземени повеќе од 50 милиони пати месечно, 40 со повеќе од 10 милиони преземања месечно и 282 со повеќе од 1 милион преземања месечно. Земајќи го предвид вчитувањето на модулите долж синџирот на зависности, компромисот на недоверливите сметки може да влијае на до 52% од сите модули во NPM.

Извор: opennet.ru