GitHub inför obligatorisk utökad verifiering av användarkonton i NPM

Med anledning av de ökade fallen av övergrepp på repositoryn för stora projekt och spridning av skadlig kod genom komprometterade utvecklarkonton, inför GitHub en utbredd utökad verifiering av konton. För underhållare och administratörer av de 500 mest populära NPM-paketen kommer obligatorisk tvåfaktorsautentisering att införas i början av nästa år.

Mellan den 7 december 2021 och den 4 januari 2022 kommer alla underhållare som har rätt att publicera NPM-paket, men som inte använder tvåfaktorsautentisering, att överföras till utökad verifiering av konton. Utökad verifiering innebär att en engångskod som skickas via e-post måste anges vid inloggning på npmjs.com eller vid utförande av autentiserade åtgärder i npm-verktyget.

Utökad verifiering ersätter inte, utan kompletterar, den tidigare tillgängliga valfria tvåfaktorsautentiseringen, där bekräftelse krävs med hjälp av engångslösenord (TOTP). Vid aktivering av tvåfaktorsautentisering tillämpas inte utökad verifiering via e-post. Från och med den 1 februari 2022 kommer processen för överföring till obligatorisk tvåfaktorsautentisering för underhållare av de 100 mest populära NPM-paketen med flest beroenden att inledas. Efter att den första hundradelen har migrerats kommer ändringen att spridas till de 500 mest populära NPM-paketen beroende på antalet beroenden.

Förutom den nuvarande tvåfaktorsautentiseringsmetoden baserad på appar för att generera engångslösenord (Authy, Google Authenticator, FreeOTP etc.) planeras det i april 2022 att lägga till möjligheten att använda hårdvarunycklar och biometriska skannrar som stöder WebAuthn-protokollet, samt möjligheten att registrera och hantera olika ytterligare autentiseringsfaktorer.

Kom ihåg att enligt en studie utförd 2020 använde endast 9,27 % av paketunderhållarna tvåfaktorsautentisering för att skydda åtkomst, och i 13,37 % av fallen försökte utvecklare återanvända komprometterade lösenord som figurerade i kända lösenords-läckor när de registrerade nya användarkonton. Under kontrollen av tillförlitligheten hos använda lösenord lyckades vi få tillgång till 12 % av kontona i NPM (13 % av paketen) på grund av användning av förutsägbara och triviala lösenord, såsom "123456". Bland de problematiska kontona fanns 4 användarkonton från de 20 mest populära paketen, 13 användarkonton vars paket laddades ner mer än 50 miljoner gånger i månaden, 40 med mer än 10 miljoner nedladdningar i månaden och 282 med mer än 1 miljon nedladdningar i månaden. Med tanke på nedladdning av moduler via beroendekedjor kunde komprometteringen av osäkra konton påverka upp till 52 % av alla moduler i NPM.

Källa: opennet.ru