Após uma nova onda de ataques de phishing a desenvolvedores, incidentes de comprometimento de pacotes populares e surgimento de worms que afetam dependências, foi decidido implementar medidas adicionais de segurança no repositório NPM:
- A autenticação de dois fatores se tornará obrigatória para a publicação local de pacotes.
- O uso de senhas temporárias (TOTP) para autenticação de dois fatores será declarado obsoleto. Os usuários serão migrados para o protocolo FIDO U2F.
- A transição para tokens granularmente controlados, com um tempo de vida limitado a 7 dias. Tokens clássicos serão considerados obsoletos e o acesso por meio deles será desativado por padrão.
- A aplicação do mecanismo 'Trusted Publishers', baseado no uso do padrão OpenID Connect (OIDC) e tokens de autenticação com tempo de expiração limitado, que são trocados entre serviços externos e o catálogo de pacotes para confirmar a operação de publicação de pacotes em vez de usar senhas tradicionais ou tokens de acesso permanentes da API.
Fonte: opennet.ru
