GitHub NPM मध्ये अनिवार्य वर्धित खाते सत्यापन लागू करते

मोठ्या प्रकल्पांच्या रेपॉजिटरी अपहृत झाल्याच्या वाढत्या घटनांमुळे आणि विकसक खात्यांच्या तडजोडीद्वारे दुर्भावनापूर्ण कोडचा प्रचार केला जात असल्याने, GitHub व्यापक विस्तारित खाते सत्यापन सादर करत आहे. स्वतंत्रपणे, पुढील वर्षाच्या सुरुवातीला 500 सर्वाधिक लोकप्रिय NPM पॅकेजेसच्या देखभाल करणाऱ्या आणि प्रशासकांसाठी अनिवार्य द्वि-घटक प्रमाणीकरण सुरू केले जाईल.

7 डिसेंबर 2021 ते 4 जानेवारी 2022 पर्यंत, ज्यांना NPM पॅकेज प्रकाशित करण्याचा अधिकार आहे, परंतु टू-फॅक्टर ऑथेंटिकेशन वापरत नाही अशा सर्व देखभालकर्त्यांना विस्तारित खाते पडताळणी वापरण्यासाठी स्विच केले जाईल. प्रगत पडताळणीसाठी npmjs.com वेबसाइटवर लॉग इन करण्याचा प्रयत्न करताना किंवा npm युटिलिटीमध्ये प्रमाणीकृत ऑपरेशन करताना ईमेलद्वारे पाठवलेला एक-वेळ कोड प्रविष्ट करणे आवश्यक आहे.

वर्धित सत्यापन पुनर्स्थित करत नाही, परंतु केवळ पूरक आहे, पूर्वी उपलब्ध पर्यायी द्वि-घटक प्रमाणीकरण, ज्यासाठी वन-टाइम पासवर्ड (TOTP) वापरून पुष्टीकरण आवश्यक आहे. जेव्हा द्वि-घटक प्रमाणीकरण सक्षम केले जाते, तेव्हा विस्तारित ईमेल सत्यापन लागू केले जात नाही. 1 फेब्रुवारी 2022 पासून, 100 सर्वाधिक लोकप्रिय NPM पॅकेजेसच्या देखरेख करणार्‍यांसाठी अनिवार्य टू-फॅक्टर ऑथेंटिकेशनवर स्विच करण्याची प्रक्रिया मोठ्या संख्येने अवलंबनांसह सुरू होईल. पहिल्या शंभरचे स्थलांतर पूर्ण केल्यानंतर, बदल अवलंबितांच्या संख्येनुसार 500 सर्वाधिक लोकप्रिय NPM पॅकेजेसमध्ये वितरित केला जाईल.

वन-टाइम पासवर्ड (Authy, Google Authenticator, FreeOTP, इ.) व्युत्पन्न करण्यासाठीच्या अनुप्रयोगांवर आधारित सध्या उपलब्ध असलेल्या द्वि-घटक प्रमाणीकरण योजनेव्यतिरिक्त, एप्रिल 2022 मध्ये त्यांनी हार्डवेअर की आणि बायोमेट्रिक स्कॅनर वापरण्याची क्षमता जोडण्याची योजना आखली आहे. ज्यामध्ये WebAuthn प्रोटोकॉलसाठी समर्थन आहे आणि विविध अतिरिक्त प्रमाणीकरण घटकांची नोंदणी आणि व्यवस्थापन करण्याची क्षमता देखील आहे.

2020 मध्ये केलेल्या अभ्यासानुसार, केवळ 9.27% ​​पॅकेज मेंटेनर्स प्रवेश संरक्षित करण्यासाठी द्वि-घटक प्रमाणीकरण वापरतात आणि 13.37% प्रकरणांमध्ये, नवीन खात्यांची नोंदणी करताना, विकसकांनी तडजोड केलेले पासवर्ड पुन्हा वापरण्याचा प्रयत्न केला. ज्ञात पासवर्ड लीक. पासवर्ड सुरक्षितता पुनरावलोकनादरम्यान, “12” सारख्या अंदाजे आणि क्षुल्लक पासवर्डच्या वापरामुळे 13% NPM खात्यांमध्ये (123456% पॅकेजेस) प्रवेश केला गेला. समस्याग्रस्तांपैकी टॉप 4 सर्वाधिक लोकप्रिय पॅकेजेसमधील 20 वापरकर्ता खाती, दरमहा 13 दशलक्षपेक्षा जास्त वेळा डाउनलोड केलेली पॅकेज असलेली 50 खाती, दरमहा 40 दशलक्षाहून अधिक डाउनलोड असलेली 10 आणि दरमहा 282 दशलक्षपेक्षा जास्त डाउनलोड असलेली 1 खाती होती. अवलंबनांच्या साखळीसह मॉड्यूल्सचे लोडिंग लक्षात घेऊन, अविश्वासू खात्यांची तडजोड NPM मधील सर्व मॉड्यूल्सपैकी 52% पर्यंत प्रभावित करू शकते.

स्त्रोत: opennet.ru