В репозитории NPM включено применение обязательной двухфакторной аутентификации для учётных записей сопровождающих 500 самых популярных NPM-пакетов. В качестве критерия популярности использовано число зависимых пакетов. Сопровождающие попавших в список пакетов смогут выполнить связанные с внесением изменений операции с репозиторием только после включения двухфакторной аутентификации, требующей подтверждения входа при помощи одноразовых паролей (TOTP), генерируемых такими приложениями, как Authy, Google Authenticator и FreeOTP, или аппаратных ключей и биометрических сканеров, поддерживающих протокол WebAuth.
Это третий этап усиления защиты NPM от компрометации учётных записей. На первом этапе был выполнен перевод всех учётных записей NPM, для которых не включена двухфакторная аутентификация, на использование расширенной верификации учётных записей, которая требует ввода одноразового кода, отправляемого на email при попытке входа на сайт npmjs.com или выполнения аутентифицируемой операции в утилите npm. На втором этапе обязательная двухфакторная аутентификация была включена для 100 самых популярных пакетов.
Vi påminner om att enligt en studie som genomfördes 2020 använde endast 9,27% av pakets underhållare tvåfaktorsautentisering för att skydda åtkomst, och i 13,37% av fallen försökte utvecklare återanvända komprometterade lösenord som förekom i kända lösenordsläckor vid registrering av nya konton. Under kontrollen av säkerheten hos använda lösenord lyckades vi få tillgång till 12% av NPM-kontona (13% av paketen) på grund av användning av förutsägbara och triviala lösenord, såsom "123456". Bland de problematiska fanns 4 användarkonton från de 20 mest populära paketen, 13 konton från paket som laddades ner mer än 50 miljoner gånger per månad, 40 - mer än 10 miljoner nedladdningar per månad och 282 konton med mer än 1 miljon nedladdningar per månad. Med tanke på laddning av moduler genom kedjor av beroenden kan kompromettering av osäkra konton ha påverkat upp till 52% av alla moduler i NPM.
Källa: opennet.ru
