GitHub je napovedal uvedbo obvezne dvostopenjske avtentifikacije za 100 NPM paketov, vključenih kot odvisnost v največjem številu paketov. Osebe, ki skrbijo za te pakete, bodo od sedaj naprej mogle izvrševati opravila, ki zahtevajo avtentifikacijo v repozitoriju, le po aktivaciji dvostopenjske avtentifikacije, ki zahteva potrditev prijave z enkratnimi gesli (TOTP), ki jih generirajo aplikacije, kot so Authy, Google Authenticator in FreeOTP. V kratkem nameravajo poleg TOTP dodati tudi možnost uporabe strojnih ključev in biometričnih skenerjev, ki podpirajo protokol WebAuth.
Na 1. marec je načrtovan prenos vseh uporabniških računov NPM, za katere dvostopenjska avtentifikacija ni bila omogočena, na uporabo razširjene overitve računov, ki zahteva vnos enkratnega kode, poslanega na email ob poskusu prijave na spletno mesto npmjs.com ali izvrševanju avtentificirane operacije v orodju npm. Pri aktivirani dvostopenjski avtentifikaciji razširjena overitev po emailu ne velja. 16. in 13. februarja bo potekala preizkusna začasna izvedba razširjene overitve za vse račune.
Podsjetimo da je prema istraživanju provođenom 2020. godine, samo 9,27% održavatelja paketa koristilo dvostopenjsku autentifikaciju za zaštitu pristupa, dok je u 13,37% slučajeva prilikom registracije novih računa programeri pokušavali ponovo koristiti kompromitirane lozinke, koje se nalaze u poznatim provalama lozinki. Tijekom provjere pouzdanosti korištenih lozinki, uspjeli smo dobiti pristup 12% računa u NPM-u (13% paketa) zbog korištenja predvidivih i trivijalnih lozinki kao što je "123456". Među problematičnim su se našle 4 korisničke računa iz Top20 najpopularnijih paketa, 13 računa čiji su paketi preuzimani više od 50 milijuna puta mjesečno, 40 računa s više od 10 milijuna preuzimanja mjesečno, te 282 računa s više od 1 milijun preuzimanja mjesečno. S obzirom na preuzimanje modula putem lanaca zavisnosti, kompromitacija nepouzdanih računa mogla bi pogoditi ukupno do 52% svih modula u NPM-u.
Izvor: opennet.ru
