GitHub har meddelat att de kommer att införa obligatorisk tvÄfaktorsautentisering för 100 NPM-paket i sina NPM-repositorier, vilka har inkluderats som beroenden i flest paket. FrÄn och med nu kommer ansvariga för dessa paket endast kunna utföra autentisering krÀvt operationer med repositoriet efter att ha aktiverat tvÄfaktorsautentisering som krÀver inloggningsbekrÀftelse med hjÀlp av engÄngslösenord (TOTP), som genereras av appar sÄsom Authy, Google Authenticator och FreeOTP. Inom kort planeras möjligheten att anvÀnda hÄrdvarunycklar och biometriska skannrar som stöder WebAuth-protokollet att tillkomma.
Den 1 mars planeras övergÄngen av alla NPM-konton, dÀr tvÄfaktorsautentisering inte Àr aktiverad, till att anvÀnda avancerad kontoverifiering, vilket krÀver att en engÄngskod skickas till e-postadress vid inloggning pÄ npmjs.com eller utförande av autentiserade operationer i npm-verktyget. NÀr tvÄfaktorsautentisering Àr aktiverad tillÀmpas ingen avancerad verifiering via e-post. Den 16 och 13 februari kommer en temporÀr teststart av den avancerade verifieringen att genomföras för alla konton under en dag.
Vi pÄminner om att enligt en studie som genomfördes 2020 anvÀnde endast 9,27% av pakets underhÄllare tvÄfaktorsautentisering för att skydda Ätkomst, och i 13,37% av fallen försökte utvecklare ÄteranvÀnda komprometterade lösenord som förekom i kÀnda lösenordslÀckor vid registrering av nya konton. Under kontrollen av sÀkerheten hos anvÀnda lösenord lyckades vi fÄ tillgÄng till 12% av NPM-kontona (13% av paketen) pÄ grund av anvÀndning av förutsÀgbara och triviala lösenord, sÄsom "123456". Bland de problematiska fanns 4 anvÀndarkonton frÄn de 20 mest populÀra paketen, 13 konton frÄn paket som laddades ner mer Àn 50 miljoner gÄnger per mÄnad, 40 - mer Àn 10 miljoner nedladdningar per mÄnad och 282 konton med mer Àn 1 miljon nedladdningar per mÄnad. Med tanke pÄ laddning av moduler genom kedjor av beroenden kan kompromettering av osÀkra konton ha pÄverkat upp till 52% av alla moduler i NPM.
KĂ€lla: opennet.ru
