Spoločnosť GitHub predstavila vydanie balíčkového správcu NPM 8.15, ktorý je súčasťou dodávky Node.js a používa sa na distribúciu modulov v jazyku JavaScript. Uvádza sa, že každý deň sa prostredníctvom NPM stiahne viac ako 5 miliárd balíkov.
Kľúčové zmeny:
- Pridaný nový príkaz „audit signatures“ na vykonávanie lokálneho auditu integrít inštalovaných balíkov, ktorý nevyžaduje manipuláciu s nástrojmi PGP. Nový verifikačný mechanizmus je založený na použití digitálnych podpisov na báze algoritmu ECDSA a použití HSM (Hardware Security Module) na správu kľúčov. Všetky balíky v repozitári NPM boli už prepodpísané pomocou novej schémy.
- Vyhlásila sa dostupnosť rozšírenej dvojfaktorovej autentifikácie pre všeobecné používanie. Pridaný zjednodušený proces prihlásenia a publikovania v npm CLI, ktorý funguje cez prehliadač. Pri uvedení možnosti „—auth-type=web“ sa na autentifikáciu účtu používa webové rozhranie otvorené v prehliadači. Parametre relácie sa pamätajú. Na nastavenie relácie je potrebné potvrdiť email pomocou jednorazových hesiel (OTP), a pri vykonávaní operácií v už vytvorených reláciách stačí potvrdiť druhú fázu dvojfaktorovej autentifikácie. Poskytuje sa režim zapamätania, ktorý umožňuje vykonávať operácie publikovania počas 5 minút z tej istej IP adresy a s tým istým tokenom bez ďalších požiadaviek na dvojfaktorovú autentifikáciu.
- Poskytla sa možnosť prepojiť účty GitHub a Twitter s NPM, čo umožňuje prihlásenie sa do NPM pomocou účtov na GitHub a Twitter.
V ďalších plánoch sa uvádza zavedenie povinnej dvojfaktorovej autentifikácie pre účty spojené s balíkmi, ktoré majú viac ako 1 milión stiahnutí týždenne alebo majú viac ako 500 závislých balíkov. V súčasnosti sa povinná dvojfaktorová autentifikácia uplatňuje iba pre 500 najpopulárnejších balíkov.
Zdroj: opennet.ru
