A GitHub apresentou o lançamento do gerenciador de pacotes NPM 8.15, incluído na distribuição do Node.js e utilizado para a distribuição de módulos em JavaScript. Observa-se que mais de 5 bilhões de pacotes são baixados diariamente através do NPM.
Mudanças principais:
- Adicionada um novo comando 'audit signatures' para realizar auditorias locais da integridade dos pacotes instalados, sem a necessidade de manipular utilitários PGP. O novo mecanismo de verificação é baseado no uso de assinaturas digitais utilizando o algoritmo ECDSA e no uso de HSM (Módulo de Segurança de Hardware) para gerenciamento de chaves. Todos os pacotes no repositório NPM já foram re-assinados utilizando o novo esquema.
- Anunciada a disponibilidade de autenticação de dois fatores expandida para uso geral. Adicionado um processo simplificado de entrada e publicação no npm CLI, funcionando através do navegador. Ao especificar a opção '--auth-type=web' para autenticação da conta, uma interface da web é aberta no navegador. As opções de sessão são lembradas. Para configurar uma sessão, é necessário confirmar o email usando senhas únicas (OTP), e ao realizar operações em sessões já configuradas, basta confirmar a segunda etapa da autenticação de dois fatores. Um modo de lembrança é fornecido, permitindo a realização de operações de publicação pelo mesmo IP e com o mesmo token sem solicitações adicionais de autenticação de dois fatores por 5 minutos.
- Disponibilizada a possibilidade de vincular contas do GitHub e Twitter ao NPM, permitindo o acesso ao NPM utilizando as contas do GitHub e Twitter.
Nos planos futuros, menciona-se a implementação da autenticação de dois fatores obrigatória para contas relacionadas a pacotes que têm mais de 1 milhão de downloads por semana ou que possuem mais de 500 pacotes dependentes. Atualmente, a autenticação de dois fatores obrigatória se aplica apenas aos 500 pacotes mais populares.
Fonte: opennet.ru
