Po novej vlne phishingových útokov na správcov, incidentoch s kompromitáciou populárnych balíkov a objave červov, ktoré napádajú závislosti, sa v repozitári NPM rozhodlo implementovať ďalšie bezpečnostné opatrenia:
- Dvojfaktorová autentifikácia sa stane povinnou pri lokálnom publikovaní balíkov.
- Používanie jednorazových hesiel (TOTP) pre dvojfaktorovú autentifikáciu sa vyhlási za zastarané. Používatelia budú prechádzať na protokol FIDO U2F.
- Prechod na granularizované tokeny, ktorých doba platnosti je obmedzená na 7 dní. Klasické tokeny budú vyhlásené za zastarané a prístup s ich pomocou bude predvolene zakázaný.
- Použitie mechanizmu „Dôveryhodní vydavatelia“, založeného na použití štandardu OpenID Connect (OIDC) a autentifikačných tokenov s obmedzenou dobou platnosti, ktorými si externé služby a katalóg balíkov vymieňajú na potvrdenie operácie publikovania balíka namiesto používania tradičných hesiel alebo trvalých prístupových tokenov k API.
Zdroj: opennet.ru
