Utgivning av pakethanteraren NPM 8.15 med stöd för lokal paketintegritetskontroll

GitHub har lanserat version 8.15 av paketförvaltaren NPM, som ingår i Node.js-distributionen och används för att sprida moduler skrivna i JavaScript. Det nämns att över 5 miljarder paket laddas ner dagligen via NPM.

Nyckeländringar:

• En ny kommando "audit signatures" har lagts till för att genomföra lokal integritetsgranskning av installerade paket, utan att behöva använda PGP-verktyg. Den nya verifieringsmekanismen bygger på digitala signaturer baserade på ECDSA-algoritmen och använder HSM (Hardware Security Module) för nyckelhantering. Alla paket i NPM-förvaret har redan signeras om med den nya schemat.
• Utökad tvåfaktorsautentisering har nu blivit tillgänglig för allmänt bruk. En förenklad inloggning och publiceringsprocess i npm CLI har lagts till, som fungerar via webbläsare. När alternativet "—auth-type=web" anges används ett webbgränssnitt för att autentisera kontot, vilket öppnas i webbläsaren. Sessionsinställningar sparas. För att etablera en session krävs bekräftelse av e-post via engångslösenord (OTP), och vid åtgärder i redan etablerade sessioner räcker det att bekräfta den andra fasen av tvåfaktorsautentiseringen. En kom ihåg-läge erbjuds som gör det möjligt att utföra publiceringsåtgärder under 5 minuter från samma IP och med samma token utan ytterligare tvåfaktorsautentiseringsanrop.
• Det har blivit möjligt att koppla samman GitHub- och Twitter-konton med NPM, vilket möjliggör inloggning till NPM med hjälp av konton från GitHub och Twitter.

Framöver planeras det att tvåfaktorsautentisering ska bli obligatorisk för konton kopplade till paket som har mer än 1 miljon nedladdningar per vecka eller som har mer än 500 beroenden. För närvarande tillämpas obligatorisk tvåfaktorsautentisering endast för de 500 mest populära paketen.

Källa: opennet.ru