Защитата от атаки върху сметките, целящи контрол върху зависимостите, наложи RubyGems да премине към задължителна двуфакторна автентикация за сметките, които поддържат 100-те най-популярни пакета (по брой изтегляния), както и за пакети с над 165 милиона изтегляния. Приложението на двуфакторната автентикация значително ще усложни достъпа в случай на компрометиране на идентификационните данни на разработчика, например при повторно използване на парола на компрометиран сайт, използването на предсказуеми пароли или прихващане на идентификационни данни от зловреден софтуер на системата на разработчика.
На първия етап, при използване на командни инструменти или сайта rubygems.org, на поддържащите популярните пакети ще им се показва предупреждение за необходимостта от активиране на двуфакторната автентикация. На 15 август препоръката ще се промени в задължително изискване за активиране на двуфакторната автентикация, без която достъп няма да бъде предоставен. Един месец и една седмица преди включването на задължителната двуфакторна автентикация, на поддържащите също ще бъдат изпратени уведомления по електронната поща.
В четвърто тримесечие на 2022 година се планира разширяване на изискването за прилагане на двуфакторната автентикация и за други категории потребители на RubyGems (критериите все още не са одобрени, вероятно, както в случая с NPM, обхватът ще бъде разширен до 500-те най-популярни пакета).
Източник: opennet.ru
