GitHub a anunțat introducerea autentificării cu doi factori obligatorii în repositoarele NPM pentru 100 de pachete NPM, incluse ca dependență în cele mai multe pachete. De acum înainte, administratorii acestor pachete vor putea efectua operațiuni ce necesită autentificare în repositotiu doar după activarea autentificării cu doi factori, care necesită confirmarea accesului prin intermediul parolelor unice (TOTP) generate de aplicații precum Authy, Google Authenticator și FreeOTP. În curând, pe lângă TOTP, se va adăuga posibilitatea de a utiliza chei hardware și scanere biometrice care suportă protocolul WebAuth.
Pe 1 martie, toate conturile NPM pentru care nu este activată autentificarea cu doi factori vor fi migrate la o verificare extinsă a conturilor, care necesită introducerea unui cod unic trimis prin email la încercarea de conectare pe site-ul npmjs.com sau la efectuarea unei operațiuni autentificate în utilitarul npm. Atunci când autentificarea cu doi factori este activată, verificarea extinsă prin email nu se aplică. Pe 16 și 13 februarie, va avea loc un test temporar de 24 de ore al verificării extinse pentru toate conturile.
Reamintim că, conform unui studiu realizat în 2020, doar 9,27% dintre mentenorii pachetelor utilizau autentificarea cu două factori pentru protecția accesului, iar în 13,37% din cazuri, la înregistrarea de conturi noi, dezvoltatorii încercau să reutilizeze parole compromise care figurau în breșele cunoscute de date. În urma verificării fiabilității parolelor utilizate, s-a reușit accesarea a 12% din conturile NPM (13% din pachete) din cauza utilizării unor parole previzibile și triviale, precum „123456”. Au fost identificate 4 conturi de utilizatori din Top20 cele mai populare pachete, 13 conturi ale căror pachete au fost descărcate de peste 50 de milioane de ori pe lună, 40 cu mai mult de 10 milioane de descărcări pe lună și 282 cu mai mult de 1 milion de descărcări pe lună. Având în vedere descărcarea modulelor pe baza dependențelor, compromiterea unor conturi nesigure ar putea afecta până la 52% din toate modulele din NPM.
Sursa: opennet.ro
