GitHub heeft de release van het package manager NPM 8.15 aangekondigd, dat deel uitmaakt van de levering van Node.js en wordt gebruikt voor het verspreiden van modules in JavaScript. Het wordt opgemerkt dat er dagelijks meer dan 5 miljard pakketten via NPM worden gedownload.
Belangrijkste wijzigingen:
- Een nieuwe opdracht 'audit signatures' is toegevoegd voor het lokaal controleren van de integriteit van te installeren pakketten, zonder dat er manipulaties met PGP-tools nodig zijn. Het nieuwe verificatiemechanisme is gebaseerd op digitale handtekeningen met behulp van het ECDSA-algoritme en het gebruik van HSM (Hardware Security Module) voor sleutelbeheer. Alle pakketten in de NPM-repository zijn opnieuw ondertekend met de nieuwe schema's.
- Uitgebreide tweefactorauthenticatie is aangekondigd voor algemeen gebruik. Een vereenvoudigd proces voor inloggen en publiceren in npm CLI, dat via de browser werkt, is toegevoegd. Bij het opgeven van de optie ‘—auth-type=web’ wordt een webinterface geopend in de browser voor de authenticatie van het account. Sessieparameters worden onthouden. Om een sessie op te zetten, moet het e-mailadres met een eenmalig wachtwoord (OTP) worden bevestigd, en voor het uitvoeren van operaties in al reeds opgezet sessies is het voldoende om de tweede stap van de tweefactorauthenticatie te bevestigen. Er is een herinneringsmodus beschikbaar die het mogelijk maakt om gedurende 5 minuten publicatieoperaties vanaf hetzelfde IP en met dezelfde token uit te voeren zonder extra verzoeken om tweefactorauthenticatie.
- Er is een mogelijkheid toegevoegd om GitHub- en Twitter-accounts aan NPM te koppelen, waardoor je je kunt aanmelden bij NPM met je GitHub- en Twitter-accounts.
In toekomstige plannen wordt het verplicht stellen van tweefactorauthenticatie voor accounts die verbonden zijn met pakketten met meer dan 1 miljoen downloads per week of meer dan 500 afhankelijkheden, genoemd. Momenteel is de verplichte tweefactorauthenticatie alleen van toepassing op de 500 populairste pakketten.
Bron: opennet.ru
