NPM вклучува задолжителна двофакторна автентикација за првите 500 најпопуларни пакети

Складиштето на NPM вклучува задолжителна двофакторна автентикација за сметки кои ги одржуваат 500-те најпопуларни NPM пакети. Како критериум за популарност се користеше бројот на зависни пакети. Одржувачите на наведените пакети ќе можат да вршат операции поврзани со модификација на складиштето само откако ќе овозможат автентикација со два фактори, што бара потврда за најавување со користење на еднократни лозинки (TOTP) генерирани од апликации како што се Authy, Google Authenticator и FreeOTP, или хардверски клучеви и биометриски скенери, кои го поддржуваат протоколот WebAuth.

Ова е трета фаза на зајакнување на заштитата на НПМ од компромиси на сметката. Првата фаза вклучуваше конвертирање на сите NPM сметки кои немаат автентикација со два фактори овозможена да користат напредна верификација на сметката, која бара внесување еднократен код испратен по е-пошта кога се обидувате да се најавите на npmjs.com или да извршите автентицирана операција во npm алатка. Во втората фаза беше овозможена задолжителна двофакторна автентикација за 100-те најпопуларни пакети.

Да потсетиме дека според студијата спроведена во 2020 година, само 9.27% од одржувачите на пакети користеле двофакторна автентикација за да го заштитат пристапот, а во 13.37% од случаите, при регистрирање нови сметки, програмерите се обиделе повторно да ги користат компромитирани лозинки кои се појавиле во познати протекување лозинка. За време на безбедносната проверка на лозинката, до 12% од сметките на NPM (13% од пакетите) беше пристапено поради употребата на предвидливи и тривијални лозинки како „123456“. Меѓу проблематичните беа 4 кориснички сметки од најпопуларните пакети Топ20, 13 сметки со пакети преземени повеќе од 50 милиони пати месечно, 40 со повеќе од 10 милиони преземања месечно и 282 со повеќе од 1 милион преземања месечно. Земајќи го предвид вчитувањето на модулите долж синџирот на зависности, компромисот на недоверливите сметки може да влијае на до 52% од сите модули во NPM.

Извор: opennet.ru