GitHub обяви за началото на етапно прехвърляне на всички потребители, публикуващи код, на задължителна двуфакторна автентикация. От 13 март задължителната двуфакторна автентикация ще започне да се прилага за отделни групи потребители, постепенно обхващайки все нови категории. Първоначално задължителната двуфакторна автентикация ще бъде внедрена за разработчици, публикуващи пакети, OAuth приложения и GitHub обработчици, които формират издания, участващи в разработката на проекти, критично важни за екосистемите npm, OpenSSF, PyPI и RubyGems, както и ангажирани с работата по четирите милиона най-популярни репозитории.
До края на 2023 година възможността за изпращане на промени без прилагане на двуфакторна автентикация ще бъде забранена за всички потребители. В процеса на приближаване към прехвърлянето на двуфакторна автентикация на потребителите ще бъдат изпращани имейл известия и ще бъдат показвани предупреждения в интерфейса. След изпращане на първото предупреждение разработчикът ще има 45 дни за настройка на двуфакторната автентикация.
За двуфакторната проверка на автентичност може да се използва мобилно приложение, потвърждаване чрез SMS или свързване на достъп ключ. Като предпочитан вариант за двуфакторна автентикация се препоръчва да се използват приложения, създаващи еднократни пароли с ограничен срок на валидност (TOTP), като Authy, Google Authenticator и FreeOTP.
Прилагането на двуфакторна автентикация ще засили защитата на процеса на разработка и ще осигури репозиториите от внедряване на злонамерени промени в резултат на изтичане на данни за достъп, използване на същата парола на компрометиран сайт, хакване на локалната система на разработчика или прилагане на методи за социална инжинерия. Според GitHub, достъпът на злонамерени лица до репозитории вследствие на захващане на акаунти е една от най-опасните заплахи, тъй като в случай на успешно нападение могат да бъдат направени злонамерени промени в популярни продукти и библиотеки, използвани като зависимости.
Източник: opennet.ru
