GitHub абвясціў аб пачатку паэтапнага перакладу ўсіх карыстачоў, якія публікуюць код, на абавязковую двухфактарную аўтэнтыфікацыю. З 13 сакавіка абавязковая двухфактарная аўтэнтыфікацыя пачне прымяняцца для асобных груп карыстальнікаў, паступова ахопліваючы ўсё новыя і новыя катэгорыі. У першую чаргу двухфактарная аўтэнтыфікацыя стане абавязковай для распрацоўнікаў, якія публікуюць пакеты, OAuth-прыкладанні і GitHub-апрацоўшчыкі, якія фармуюць рэлізы, што ўдзельнічаюць у распрацоўцы праектаў, крытычна важных для экасістэм npm, OpenSSF, PyPI і RubyGems, а таксама папулярных рэпазітароў.
Да канца 2023 гады GitHub магчымасць адпраўкі змен без ужывання двухфактарнай аўтэнтыфікацыі будзе забароненая для ўсіх карыстачоў. Па меры набліжэння моманту пераводу на двухфактарную аўтэнтыфікацыю карыстальнікам будуць накіроўвацца email-паведамленні і выводзіцца папярэджанні ў інтэрфейсе. Пасля адпраўкі першага папярэджання распрацоўніку даецца 45 дзён на наладу двухфактарнай аўтэнтыфікацыі.
Для двухфактарнай праверкі сапраўднасці можна выкарыстоўваць мабільнае прыкладанне, пацверджанне праз SMS ці прымацаванне ключа доступу. У якасці прыярытэтнага варыянту для двухфактарнай праверкі сапраўднасці рэкамендуецца выкарыстоўваць прыкладанні, якія ствараюць аднаразовыя паролі з абмежаваным тэрмінам дзеяння (TOTP), такія як Authy, Google Authenticator і FreeOTP.
Ужыванне двухфактарнай аўтэнтыфікацыі дазволіць узмацніць абарону працэсу распрацоўкі і засцерагчы рэпазітары ад занясення шкоднасных змен у выніку ўцечкі ўліковых дадзеных, выкарыстанні таго ж пароля на скампраметаваным сайце, узломаў лакальнай сістэмы распрацоўніка або ўжыванні метадаў сацыяльнага інжынірынгу. Па меркаванні GitHub атрыманне зламыснікамі доступу да рэпазітароў у выніку захопу ўліковых запісаў з'яўляецца адной з найболей небяспечных пагроз, бо ў выпадку паспяховага нападу можа быць ажыццёўлена падстаноўка шкоднасных змен у папулярныя прадукты і бібліятэкі, выкарыстоўваныя ў якасці залежнасцяў.
Крыніца: opennet.ru