In verband met de toenemende gevallen van repository-overname van grote projecten en de verspreiding van kwaadaardige code via de compromittering van ontwikkelaarsaccounts, introduceert GitHub uitgebreide accountverificatie. Speciaal voor de maintainers en beheerders van de 500 meest populaire NPM-pakketten zal aan het begin van volgend jaar verplichte tweefactorauthenticatie worden ingevoerd.
Van 7 december 2021 tot 4 januari 2022 zal een overgang plaatsvinden voor alle maintainers die het recht hebben om NPM-pakketten te publiceren, maar geen gebruik maken van tweefactorauthenticatie, naar het gebruik van uitgebreide accountverificatie. Uitgebreide verificatie houdt in dat een eenmalige code moet worden ingevoerd, die naar het e-mailadres wordt gestuurd bij het inloggen op de site npmjs.com of bij het uitvoeren van een authenticeerbare handeling in de npm-tool.
Uitgebreide verificatie vervangt de eerder beschikbare optionele tweefactorauthenticatie niet, maar aanvult deze, waarbij bevestiging vereist is met een eenmalig wachtwoord (TOTP). Bij het inschakelen van tweefactorauthenticatie wordt uitgebreide verificatie via e-mail niet toegepast. Vanaf 1 februari 2022 begint het proces van overgang naar verplichte tweefactorauthenticatie voor de maintainers van de 100 meest populaire NPM-pakketten met de meeste afhankelijkheden. Na het afronden van de migratie van de eerste honderd, zal de wijziging worden uitgebreid naar de 500 meest populaire NPM-pakketten op basis van het aantal afhankelijkheden.
Naast de momenteel beschikbare tweefactorauthenticatie op basis van applicaties die eenmalige wachtwoorden genereren (Authy, Google Authenticator, FreeOTP, enz.) is het de bedoeling om in april 2022 de mogelijkheid toe te voegen om hardware-sleutels en biometrische scanners te gebruiken, waarvoor ondersteuning is voor het WebAuthn-protocol, evenals de mogelijkheid om verschillende aanvullende authenticatiefactoren te registreren en te beheren.
Laten we herinneren dat volgens een onderzoek uitgevoerd in 2020, slechts 9,27% van de pakketonderhouders tweefactorauthenticatie gebruikt voor toegangsbescherming, en in 13,37% van de gevallen probeerden ontwikkelaars bij het registreren van nieuwe accounts gecompromitteerde wachtwoorden te hergebruiken die verschenen in bekende datalekken. Tijdens de evaluatie van de betrouwbaarheid van de gebruikte wachtwoorden kon toegang worden verkregen tot 12% van de accounts in NPM (13% van de pakketten) vanwege het gebruik van voorspelbare en triviale wachtwoorden, zoals '123456'. Onder de problematische accounts bevonden zich 4 gebruikersaccounts uit de Top20 van de populairste pakketten, 13 accounts waarvan de pakketten meer dan 50 miljoen keer per maand werden gedownload, 40 met meer dan 10 miljoen downloads per maand en 282 met meer dan 1 miljoen downloads per maand. Gezien de afhankelijkheidsstructuur van de modules, kon de compromis van onbetrouwbare accounts tot 52% van alle modules in NPM raken.
Bron: opennet.ru
