No repositório NPM, foi introduzido o uso obrigatório da autenticação de dois fatores para as contas que mantêm os 500 pacotes NPM mais populares. O critério de popularidade utilizado foi o número de pacotes dependentes. Os mantenedores dos pacotes incluídos na lista poderão realizar operações de alteração no repositório apenas após ativar a autenticação de dois fatores, que requer confirmação de login através de senhas temporárias (TOTP), geradas por aplicativos como Authy, Google Authenticator e FreeOTP, ou por chaves de hardware e scanners biométricos que suportam o protocolo WebAuth.
Esta é a terceira etapa de reforço da segurança do NPM contra a compromissão de contas. Na primeira etapa, todas as contas NPM que não tinham a autenticação de dois fatores ativada foram convertidas para usar a verificação de conta aprimorada, que exige a inserção de um código temporário enviado por email ao tentar acessar o site npmjs.com ou realizar uma operação autenticada na ferramenta npm. Na segunda etapa, a autenticação de dois fatores obrigatória foi ativada para os 100 pacotes mais populares.
Vale lembrar que, de acordo com uma pesquisa realizada em 2020, apenas 9,27% dos mantenedores de pacotes utilizavam a autenticação de dois fatores para proteger o acesso, enquanto em 13,37% dos casos, ao registrar novas contas, os desenvolvedores tentavam reutilizar senhas comprometidas que estavam em vazamentos de dados conhecidos. Durante a verificação da confiabilidade das senhas usadas, foi possível acessar 12% das contas no NPM (13% dos pacotes) devido ao uso de senhas previsíveis e triviais, como '123456'. Entre os problemas, havia 4 contas de usuários do Top 20 dos pacotes mais populares, 13 contas cujos pacotes eram baixados mais de 50 milhões de vezes por mês, 40 — mais de 10 milhões de downloads por mês, e 282 com mais de 1 milhão de downloads por mês. Considerando o download de módulos por meio de cadeias de dependências, a compromissão de contas não confiáveis poderia afetar até 52% de todos os módulos no NPM.
Fonte: opennet.ru
