GitHub heeft aangekondigd dat in de NPM-repositories tweefactorauthenticatie verplicht wordt voor 100 NPM-pakketten die als afhankelijkheid zijn opgenomen in de meeste pakketten. De onderhouders van deze pakketten kunnen vanaf nu acties die authenticatie vereisen met de repository alleen uitvoeren na het inschakelen van tweefactorauthenticatie, die bevestiging van inloggen vereist via een eenmalig wachtwoord (TOTP), gegenereerd door apps zoals Authy, Google Authenticator en FreeOTP. Binnenkort is het naast TOTP ook mogelijk om gebruik te maken van hardwaretokens en biometrische scanners die het WebAuth-protocol ondersteunen.
Op 1 maart staat de overstap gepland voor alle NPM-accounts waarvoor tweefactorauthenticatie niet is ingeschakeld, naar gebruik van uitgebreide verificatie van accounts, die invoer van een eenmalige code vereist die naar e-mail wordt gestuurd bij een poging om in te loggen op npmjs.com of bij het uitvoeren van een authenticeerbare actie in de npm-tool. Bij het inschakelen van tweefactorauthenticatie wordt de uitgebreide verificatie via e-mail niet toegepast. Op 16 en 13 februari zal er een tijdelijke test worden uitgevoerd van de uitgebreide verificatie voor alle accounts.
Ter herinnering: uit een onderzoek in 2020 bleek dat slechts 9,27% van de pakketonderhouders multifactorauthenticatie gebruikte voor toegangsbeveiliging, terwijl 13,37% van de gevallen bij het registreren van nieuwe accounts ontwikkelaars probeerden gecompromitteerde wachtwoorden te hergebruiken die voorkwamen in bekende datalekken. Tijdens de controle van de betrouwbaarheid van de gebruikte wachtwoorden kon toegang worden verkregen tot 12% van de accounts in NPM (13% van de pakketten) vanwege het gebruik van voorspelbare en triviale wachtwoorden, zoals "123456". Onder de problematische accounts bevonden zich 4 gebruikersaccounts uit de Top 20 populairste pakketten, 13 accounts waarvan de pakketten meer dan 50 miljoen keer per maand zijn gedownload, 40 die meer dan 10 miljoen downloads per maand hebben en 282 met meer dan 1 miljoen downloads per maand. Gezien de cascade van afhankelijkheidsmodules zou de compromittering van onbetrouwbare accounts in totaal tot 52% van alle modules in NPM kunnen treffen.
Bron: opennet.ru
