NPM för att förstärka skyddet går bort från användning av TOTP 2FA och klassiska tokens

Efter en ny våg av phishingattacker på utvecklare, incidenter med kompromettering av populära paket och framkomsten av maskar som angriper beroenden har det beslutats att genomföra ytterligare säkerhetsåtgärder i NPM-förvaret:

• Tvåfaktorsautentisering kommer att bli obligatorisk vid lokal publicering av paket.
• Användning av engångslösenord (TOTP) för tvåfaktorsautentisering kommer att avskrivas som föråldrat. Användare kommer att övergå till FIDO U2F-protokollet.
• Övergången till granulerade tokens, vars livslängd är begränsad till 7 dagar. Klassiska tokens kommer att förklaras som föråldrade och åtkomsten via dem kommer som standard att stängas av.
• Tillämpning av mekanismen "Trusted Publishers", baserad på användning av standarden OpenID Connect (OIDC) och autentiseringstokens med begränsad giltighetstid som externa tjänster och paketförteckningar byter för att bekräfta publiceringsoperationen istället för att använda traditionella lösenord eller permanenta åtkomsttokens till API.

Källa: opennet.ru