image

GitHub voert aanpassingen door aan "2FA experience" npm registry

woensdag 27 juli 2022, 15:06 door Redactie, 2 reacties

GitHub wil dat meer ontwikkelaars die packages via het npm registry aanbieden en beheren gebruikmaken van tweefactorauthenticatie (2FA) en heeft daarom besloten verschillende aanpassingen door te voeren. Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld.

Via de npm Registry biedt het een groot archief met openbare, besloten en commerciële packages die dagelijks vijf miljard keer worden gedownload. De afgelopen jaren verschenen geregeld malafide npm-packages in de registry. In 2020 bleek dat meer dan negentig procent van npm-ontwikkelaars geen 2FA gebruikte om het eigen account te beveiligen.

Volgens GitHub speelt 2FA een belangrijk rol bij een veilig ecosysteem. Binnenkort zullen ontwikkelaars met "high-impact" accounts, die packages met meer dan 1 miljoen downloads per week beheren, worden verplicht 2FA te gebruiken. Wanneer het gebruik van 2FA hinderlijk is, zullen ontwikkelaars het niet gebruiken, zegt Myles Borins van GitHub, dat eigenaar van npm is. GitHub heeft daarom besloten de "2FA experience" aan te passen.

Op basis van feedback van early adopters zijn er in npm 8.15.0 aanpassingen doorgevoerd die het gebruik van een tweede factor eenvoudiger zouden moeten maken. Zo vindt de authenticatie voor inloggen en publiceren plaats in de browser, is het bij het publiceren van code mogelijk om vijf minuten te worden herkend en zal er bij verdere publicaties vanaf hetzelfde ip-adres met token geen 2FA-prompt meer verschijnen. En is het eenvoudiger om met een bestaande sessie een nieuwe sessie te starten. Deze aanpassingen zouden het eenvoudiger voor gebruikers moeten maken om hun accounts te beschermen, stelt Borins.

Reacties (2)
27-07-2022, 15:17 door Anoniem
opzich wel slim
27-07-2022, 22:28 door Anoniem
Ik snap iets niet -

2FA bij Github is bepaald niet nieuw . Wat is er anders dat ze nu opeens zo goed (moeten/willen) kijken naar de gebruikers experience ermee ?

Zijn er zoveel andere devs die het ook niet gebruiken wegens "gedoe" , en is het alleen belangrijk geworden omdat de NPM repo zoveel gebruikers heeft ?
Waarom hebben ze niet eerder voor al die andere devs eens goed gekeken naar een pretiige workflow ?
Viel dat niet op, of kon het ze niet schelen , of is Github voor weinig andere projecten de "primaire" repo ?

Of zijn er zoveel NPM devs die _wel_ veel gebruikelijke modules maken maar zelf zo onhandig zijn met 2FA ?
Is er iets aan Node.js dat het frummelaars als dev trekt die wel populaire modules maken , en hebben de devs van andere talen/projecten gewoon geen moeite om een solide 2FA te gebruiken bij upload ?
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.