O GitHub anunciou a implementação da autenticação de dois fatores obrigatória nos repositórios NPM para 100 pacotes NPM, que estão incluídos como dependências na maior quantidade de pacotes. A partir de agora, os mantenedores desses pacotes poderão realizar operações no repositório que exigem autenticação apenas após ativarem a autenticação de dois fatores, que requer confirmação de login através de senhas temporárias (TOTP), geradas por aplicativos como Authy, Google Authenticator e FreeOTP. Em breve, além do TOTP, planejam adicionar a possibilidade de usar chaves de hardware e sensores biométricos que suportam o protocolo WebAuth.
Para 1º de março, está agendada a migração de todas as contas NPM que não possuem a autenticação de dois fatores ativada para um sistema de verificação de conta aprimorada, que exige a inserção de um código único enviado por e-mail ao tentar acessar o site npmjs.com ou realizar uma operação autenticada na ferramenta npm. Com a ativação da autenticação de dois fatores, a verificação aprimorada por e-mail não se aplica. Nos dias 16 e 13 de fevereiro, haverá um lançamento temporário experimental da verificação aprimorada para todas as contas.
Vale lembrar que, de acordo com uma pesquisa realizada em 2020, apenas 9,27% dos mantenedores de pacotes utilizavam a autenticação de dois fatores para proteger o acesso, enquanto em 13,37% dos casos, ao registrar novas contas, os desenvolvedores tentavam reutilizar senhas comprometidas que estavam em vazamentos de dados conhecidos. Durante a verificação da confiabilidade das senhas usadas, foi possível acessar 12% das contas no NPM (13% dos pacotes) devido ao uso de senhas previsíveis e triviais, como '123456'. Entre os problemas, havia 4 contas de usuários do Top 20 dos pacotes mais populares, 13 contas cujos pacotes eram baixados mais de 50 milhões de vezes por mês, 40 — mais de 10 milhões de downloads por mês, e 282 com mais de 1 milhão de downloads por mês. Considerando o download de módulos por meio de cadeias de dependências, a compromissão de contas não confiáveis poderia afetar até 52% de todos os módulos no NPM.
Fonte: opennet.ru
