NPM-ൽ GitHub നിർബന്ധിത മെച്ചപ്പെടുത്തിയ അക്കൗണ്ട് പരിശോധന നടപ്പിലാക്കുന്നു

ഡെവലപ്പർ അക്കൗണ്ടുകളുടെ ഒത്തുതീർപ്പിലൂടെ വൻകിട പ്രോജക്റ്റുകളുടെ ശേഖരണങ്ങൾ ഹൈജാക്ക് ചെയ്യപ്പെടുകയും ക്ഷുദ്രകരമായ കോഡ് പ്രമോട്ട് ചെയ്യുകയും ചെയ്യുന്ന കേസുകൾ വർദ്ധിച്ചുകൊണ്ടിരിക്കുന്നതിനാൽ, GitHub വ്യാപകമായ വിപുലമായ അക്കൗണ്ട് പരിശോധന അവതരിപ്പിക്കുന്നു. പ്രത്യേകമായി, അടുത്ത വർഷം ആദ്യം ഏറ്റവും പ്രചാരമുള്ള 500 NPM പാക്കേജുകളുടെ മെയിന്റനർമാർക്കും അഡ്മിനിസ്ട്രേറ്റർമാർക്കും നിർബന്ധിത രണ്ട്-ഘടക പ്രാമാണീകരണം അവതരിപ്പിക്കും.

7 ഡിസംബർ 2021 മുതൽ 4 ജനുവരി 2022 വരെ, NPM പാക്കേജുകൾ പ്രസിദ്ധീകരിക്കാൻ അവകാശമുള്ള, എന്നാൽ ടു-ഫാക്ടർ പ്രാമാണീകരണം ഉപയോഗിക്കാത്ത എല്ലാ മെയിന്റനർമാരും വിപുലീകൃത അക്കൗണ്ട് പരിശോധിച്ചുറപ്പിക്കൽ ഉപയോഗിക്കുന്നതിലേക്ക് മാറും. npmjs.com വെബ്‌സൈറ്റിലേക്ക് ലോഗിൻ ചെയ്യാനോ npm യൂട്ടിലിറ്റിയിൽ ഒരു ആധികാരിക പ്രവർത്തനം നടത്താനോ ശ്രമിക്കുമ്പോൾ, വിപുലമായ സ്ഥിരീകരണത്തിന് ഇമെയിൽ വഴി അയച്ച ഒറ്റത്തവണ കോഡ് നൽകേണ്ടതുണ്ട്.

വൺ-ടൈം പാസ്‌വേഡുകൾ (TOTP) ഉപയോഗിച്ച് സ്ഥിരീകരണം ആവശ്യമുള്ള, മുമ്പ് ലഭ്യമായ ഓപ്‌ഷണൽ ടു-ഫാക്ടർ പ്രാമാണീകരണത്തെ മെച്ചപ്പെടുത്തിയ പരിശോധന മാറ്റിസ്ഥാപിക്കില്ല, എന്നാൽ പൂർത്തീകരിക്കുക മാത്രമാണ് ചെയ്യുന്നത്. രണ്ട്-ഘടക പ്രാമാണീകരണം പ്രവർത്തനക്ഷമമാക്കുമ്പോൾ, വിപുലീകൃത ഇമെയിൽ സ്ഥിരീകരണം ബാധകമല്ല. 1 ഫെബ്രുവരി 2022 മുതൽ, ഏറ്റവും കൂടുതൽ ഡിപൻഡൻസികളുള്ള, ഏറ്റവും ജനപ്രിയമായ 100 NPM പാക്കേജുകൾ പരിപാലിക്കുന്നവർക്കായി നിർബന്ധിത രണ്ട്-ഘടക പ്രാമാണീകരണത്തിലേക്ക് മാറുന്ന പ്രക്രിയ ആരംഭിക്കും. ആദ്യത്തെ നൂറിന്റെ മൈഗ്രേഷൻ പൂർത്തിയാക്കിയ ശേഷം, ഡിപൻഡൻസികളുടെ എണ്ണം അനുസരിച്ച് ഏറ്റവും ജനപ്രിയമായ 500 NPM പാക്കേജുകളിലേക്ക് മാറ്റം വിതരണം ചെയ്യും.

ഒറ്റത്തവണ പാസ്‌വേഡുകൾ (Authy, Google Authenticator, FreeOTP മുതലായവ) സൃഷ്ടിക്കുന്നതിനുള്ള ആപ്ലിക്കേഷനുകളെ അടിസ്ഥാനമാക്കി നിലവിൽ ലഭ്യമായ രണ്ട്-ഘടക പ്രാമാണീകരണ പദ്ധതിക്ക് പുറമേ, 2022 ഏപ്രിലിൽ ഹാർഡ്‌വെയർ കീകളും ബയോമെട്രിക് സ്കാനറുകളും ഉപയോഗിക്കാനുള്ള കഴിവ് ചേർക്കാൻ അവർ പദ്ധതിയിടുന്നു. WebAuthn പ്രോട്ടോക്കോളിന് പിന്തുണയുണ്ട്, കൂടാതെ വിവിധ അധിക പ്രാമാണീകരണ ഘടകങ്ങൾ രജിസ്റ്റർ ചെയ്യാനും നിയന്ത്രിക്കാനുമുള്ള കഴിവും.

2020-ൽ നടത്തിയ ഒരു പഠനമനുസരിച്ച്, പാക്കേജ് പരിപാലിക്കുന്നവരിൽ 9.27% ​​മാത്രമേ ആക്‌സസ് പരിരക്ഷിക്കുന്നതിന് രണ്ട്-ഘടക പ്രാമാണീകരണം ഉപയോഗിക്കുന്നുള്ളൂ, 13.37% കേസുകളിൽ, പുതിയ അക്കൗണ്ടുകൾ രജിസ്റ്റർ ചെയ്യുമ്പോൾ, ഡെവലപ്പർമാർ വിട്ടുവീഴ്ച ചെയ്ത പാസ്‌വേഡുകൾ വീണ്ടും ഉപയോഗിക്കാൻ ശ്രമിച്ചു. അറിയപ്പെടുന്ന പാസ്‌വേഡ് ചോർച്ച. ഒരു പാസ്‌വേഡ് സുരക്ഷാ അവലോകന വേളയിൽ, “12” പോലുള്ള പ്രവചനാതീതവും നിസ്സാരവുമായ പാസ്‌വേഡുകൾ ഉപയോഗിച്ചതിനാൽ 13% NPM അക്കൗണ്ടുകൾ (123456% പാക്കേജുകൾ) ആക്‌സസ് ചെയ്‌തു. ഏറ്റവും ജനപ്രിയമായ 4 പാക്കേജുകളിൽ നിന്നുള്ള 20 ഉപയോക്തൃ അക്കൗണ്ടുകൾ, പ്രതിമാസം 13 ദശലക്ഷത്തിലധികം തവണ ഡൗൺലോഡ് ചെയ്‌ത പാക്കേജുകളുള്ള 50 അക്കൗണ്ടുകൾ, പ്രതിമാസം 40 ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകൾ ഉള്ള 10, പ്രതിമാസം 282 ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകൾ ഉള്ള 1 എന്നിങ്ങനെയാണ് പ്രശ്‌നകരമായവ. ഡിപൻഡൻസികളുടെ ഒരു ശൃംഖലയിൽ മൊഡ്യൂളുകൾ ലോഡ് ചെയ്യുന്നത് കണക്കിലെടുക്കുമ്പോൾ, വിശ്വാസയോഗ്യമല്ലാത്ത അക്കൗണ്ടുകളുടെ ഒത്തുതീർപ്പ് NPM-ലെ മൊഡ്യൂളുകളുടെ 52% വരെ ബാധിക്കാം.

അവലംബം: opennet.ru