极客视点
极客时间编辑部
极客时间编辑部
113243 人已学习
免费领取
课程目录
已完结/共 3766 讲
2020年09月 (90讲)
时长 05:33
2020年08月 (93讲)
2020年07月 (93讲)
时长 05:51
2020年06月 (90讲)
2020年05月 (93讲)
2020年04月 (90讲)
2020年03月 (92讲)
时长 04:14
2020年02月 (87讲)
2020年01月 (91讲)
时长 00:00
2019年12月 (93讲)
2019年11月 (89讲)
2019年10月 (92讲)
2019年09月 (90讲)
时长 00:00
2019年08月 (91讲)
2019年07月 (92讲)
时长 03:45
2019年06月 (90讲)
2019年05月 (99讲)
2019年04月 (114讲)
2019年03月 (122讲)
2019年02月 (102讲)
2019年01月 (104讲)
2018年12月 (98讲)
2018年11月 (105讲)
时长 01:23
2018年10月 (123讲)
时长 02:06
2018年09月 (119讲)
2018年08月 (123讲)
2018年07月 (124讲)
2018年06月 (119讲)
时长 02:11
2018年05月 (124讲)
时长 03:16
2018年04月 (120讲)
2018年03月 (124讲)
2018年02月 (112讲)
2018年01月 (124讲)
时长 02:30
时长 02:34
2017年12月 (124讲)
时长 03:09
2017年11月 (120讲)
2017年10月 (86讲)
时长 03:18
时长 03:31
时长 04:25
极客视点
15
15
1.0x
00:00/02:49
登录|注册

绝大多数NPM开发者账户处于不安全状态

讲述:丁婵大小:3.86M时长:02:49
作为 JavaScript 生态系统中最大的包管理器,NPM(Node Package Manager)正遭遇安全困扰。近日,NPM 安全副总裁亚当·鲍德温(Adam Baldwin)发推文称,NPM 开发人员中,仅有 9.27% 的人使用 2FA,即双因素认证来保护其账户。这意味着绝大多数 NPM 开发人员的账户处于不安全状态。一旦黑客窃取开发人员账户,后果相当严重。
从安全角度考虑,NPM 安全团队希望 2020 年,有更多的 NPM 开发者使用 2FA,这是一种相对更安全的认证方法。与传统单一的密码认证不同,2FA 使用两种不同的元素,合并在一起,来确认使用者的身份。比如,我们常用的手机短信验证码验证就是 2FA 的一种形式。
NPM 作为所有编程语言中最大的包存储库,拥有超过 350000 个索引库。这种“地位”和影响力,让它成为供应链攻击的主要目标。黑客会入侵开发人员的 NPM 账户,从而在其库中插入恶意代码。最近几年,这类事件层出不穷。
一份发表的学术研究表明,大多数 NPM 软件包“彼此交织在一起”,并且入侵了 20 个备受瞩目的开发人员账户,就使黑客更容易植入恶意代码。
因此,确保 NPM 库所有者的账户安全应该是未来的重中之重。
或许,Mozilla 的做法提供了一种不错的方式。Mozilla 最近宣布,从 2020 年 1 月起,所有 Firefox 浏览器扩展程序的开发人员都必须为其账户启用 2FA,才能更新其扩展程序。
此前,InfoQ 在《 npm 安全事故频频发生,程序员都绝望了》的文章中报道过,有一位名叫塞巴斯蒂安·K(Sebastian K) 的网友认为 NPM(客户端和 Registry)是一个有缺陷的系统,需要完全替换,新系统应具有这些功能:
没有 unscoped 的包;
作用域是 1 对 1 绑定到单个用户或组织的;
发布包必须要使用 2FA,包必须通过 GPG 签名;
除 Registry 的维护人员外,任何人都不允许取消发布包;
不允许在最终版本中使用模糊依赖项版本。
或许这些对 NPM 新系统功能的建议也能成为 保证 NPM 开发者账户安全的良好方式。
以上就是今天的内容,对于 NPM 开发者账户安全问题,你有什么看法呢?
确认放弃笔记?
放弃后所记笔记将不保留。
新功能上线,你的历史笔记已初始化为私密笔记,是否一键批量公开?
批量公开的笔记不会为你同步至部落
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线
笔记
复制
AI
  • 深入了解
  • 翻译
    • 英语
    • 中文简体
    • 中文繁体
    • 法语
    • 德语
    • 日语
    • 韩语
    • 俄语
    • 西班牙语
    • 阿拉伯语
  • 解释
  • 总结
该免费文章来自《极客视点》,如需阅读全部文章,
请先领取课程
免费领取
登录 后留言

精选留言

由作者筛选后的优质留言将会公开显示,欢迎踊跃留言。
收起评论
显示
设置
留言
收藏
2
沉浸
阅读
分享
手机端
快捷键
回顶部