GitHub har meddelat att de kommer att införa obligatorisk tvåfaktorsautentisering för 100 NPM-paket i sina NPM-repositorier, vilka har inkluderats som beroenden i flest paket. Från och med nu kommer ansvariga för dessa paket endast kunna utföra autentisering krävt operationer med repositoriet efter att ha aktiverat tvåfaktorsautentisering som kräver inloggningsbekräftelse med hjälp av engångslösenord (TOTP), som genereras av appar såsom Authy, Google Authenticator och FreeOTP. Inom kort planeras möjligheten att använda hårdvarunycklar och biometriska skannrar som stöder WebAuth-protokollet att tillkomma.
Den 1 mars planeras övergången av alla NPM-konton, där tvåfaktorsautentisering inte är aktiverad, till att använda avancerad kontoverifiering, vilket kräver att en engångskod skickas till e-postadress vid inloggning på npmjs.com eller utförande av autentiserade operationer i npm-verktyget. När tvåfaktorsautentisering är aktiverad tillämpas ingen avancerad verifiering via e-post. Den 16 och 13 februari kommer en temporär teststart av den avancerade verifieringen att genomföras för alla konton under en dag.
Vi påminner om att enligt en studie som genomfördes 2020 använde endast 9,27% av pakets underhållare tvåfaktorsautentisering för att skydda åtkomst, och i 13,37% av fallen försökte utvecklare återanvända komprometterade lösenord som förekom i kända lösenordsläckor vid registrering av nya konton. Under kontrollen av säkerheten hos använda lösenord lyckades vi få tillgång till 12% av NPM-kontona (13% av paketen) på grund av användning av förutsägbara och triviala lösenord, såsom "123456". Bland de problematiska fanns 4 användarkonton från de 20 mest populära paketen, 13 konton från paket som laddades ner mer än 50 miljoner gånger per månad, 40 - mer än 10 miljoner nedladdningar per månad och 282 konton med mer än 1 miljon nedladdningar per månad. Med tanke på laddning av moduler genom kedjor av beroenden kan kompromettering av osäkra konton ha påverkat upp till 52% av alla moduler i NPM.
Källa: opennet.ru
