绝大多数NPM开发者账户处于不安全状态
InfoQ编辑万佳
讲述:丁婵大小:3.86M时长:02:49
作为 JavaScript 生态系统中最大的包管理器,NPM(Node Package Manager)正遭遇安全困扰。近日,NPM 安全副总裁亚当·鲍德温(Adam Baldwin)发推文称,NPM 开发人员中,仅有 9.27% 的人使用 2FA,即双因素认证来保护其账户。这意味着绝大多数 NPM 开发人员的账户处于不安全状态。一旦黑客窃取开发人员账户,后果相当严重。
从安全角度考虑,NPM 安全团队希望 2020 年,有更多的 NPM 开发者使用 2FA,这是一种相对更安全的认证方法。与传统单一的密码认证不同,2FA 使用两种不同的元素,合并在一起,来确认使用者的身份。比如,我们常用的手机短信验证码验证就是 2FA 的一种形式。
NPM 作为所有编程语言中最大的包存储库,拥有超过 350000 个索引库。这种“地位”和影响力,让它成为供应链攻击的主要目标。黑客会入侵开发人员的 NPM 账户,从而在其库中插入恶意代码。最近几年,这类事件层出不穷。
因此,确保 NPM 库所有者的账户安全应该是未来的重中之重。
此前,InfoQ 在《 npm 安全事故频频发生,程序员都绝望了》的文章中报道过,有一位名叫塞巴斯蒂安·K(Sebastian K) 的网友认为 NPM(客户端和 Registry)是一个有缺陷的系统,需要完全替换,新系统应具有这些功能:
没有 unscoped 的包;
作用域是 1 对 1 绑定到单个用户或组织的;
发布包必须要使用 2FA,包必须通过 GPG 签名;
除 Registry 的维护人员外,任何人都不允许取消发布包;
不允许在最终版本中使用模糊依赖项版本。
或许这些对 NPM 新系统功能的建议也能成为 保证 NPM 开发者账户安全的良好方式。
以上就是今天的内容,对于 NPM 开发者账户安全问题,你有什么看法呢?
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线
笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
该免费文章来自《极客视点》,如需阅读全部文章,
请先领取课程
请先领取课程
免费领取
© 版权归极客邦科技所有,未经许可不得传播售卖。 页面已增加防盗追踪,如有侵权极客邦将依法追究其法律责任。
登录 后留言
精选留言
由作者筛选后的优质留言将会公开显示,欢迎踊跃留言。
收起评论