GitHub shpalli se përfshirja në repozitorët e NPM autentifikimin me dy faktorë të detyrueshëm për 100 paketat NPM, të përfshira si varësi në numrin më të madh të paketa. Mënyrat për të mbështetur këto paketa tani do të mund të realizojnë veprimet që kërkojnë autentifikim vetëm pas aktivizimit të autentifikimit me dy faktorë, që kërkon konfirmimin e hyrjes përmes kodave të përkohshëm (TOTP), të gjeneruar nga aplikacione të tilla si Authy, Google Authenticator dhe FreeOTP. Së shpejti, përveç TOTP pritet të shtohet mundësia e përdorimit të çelësave harduerikë dhe skanerëve biometrikë që mbështesin protokollin WebAuth.
Më 1 mars është planifikuar kalimi i të gjitha llogarive NPM, për të cilat nuk është aktivizuar autentifikimi me dy faktorë, në përdorimin e verifikimit të avancuar të llogarive, i cili kërkon hyrjen e një kodi të përkohshëm, të dërguar në email gjatë përpjekjeve për të hyrë në faqen npmjs.com ose për të kryer një operacion autentikimi në utilitarin npm. Kur aktivizohet autentifikimi me dy faktorë, verifikimi i avancuar përmes email-it nuk aplikohet. Më 16 dhe 13 shkurt do të ketë një lançim provë për një ditë të verifikimit të avancuar për të gjitha llogaritë.
Напомним, что в соответствии с проведённым в 2020 году исследованием, лишь 9.27% мэйнтенеров пакетов использовали для защиты доступа двухфакторную аутентификацию, а в 13.37% случаев при регистрации новых учётных записей разработчики пытались повторно использовать скомпрометированные пароли, фигурирующие в известных утечках паролей. В ходе проверки надёжности используемых паролей удалось получить доступ к 12% аккаунтов в NPM (13% пакетов) из-за использования предсказуемых и тривиальных паролей, таких как «123456». В числе проблемных оказались 4 учётные записи пользователей из Top20 самых популярных пакетов, 13 учётных записей, пакеты которых загружали более 50 млн раз в месяц, 40 — более 10 млн загрузок в месяц и 282 с более 1 млн загрузок в месяц. С учётом загрузки модулей по цепочке зависимостей, компрометация ненадёжных учётных записей могла поразить в сумме до 52% от всех модулей в NPM.
Burimi: opennet.ru
