Защитата срещу атаки за захващане на акаунти, целящи опити за контрол над зависимости, доведе до решението на хранилището на пакети RubyGems да въведе задължителна двуфакторна автентикация за акаунти на поддръжка на 100-те най-популярни пакета (по брой изтегляния), както и за пакети, чийто брой изтегляния надвишава 165 милиона. Прилагането на двуфакторна автентикация значително ще усложни достъпа в случай на компрометиране на данните на разработчика, например при повторна употреба на парола на компрометиран сайт, използването на предсказуеми пароли или прихващане на данни в резултат на злонамерен софтуер на системата на разработчика.
На първия етап, при използване на командния ред или сайта rubygems.org, поддържащите популярни пакети ще получават предупреждение за необходимостта от активиране на двуфакторна автентикация. На 15 август препоръката ще се трансформира в задължително изискване за активиране на двуфакторната автентикация, без която достъп няма да бъде предоставен. Един месец и една седмица преди въвеждането на задължителната двуфакторна автентикация, на поддържащите също ще бъдат изпратени известия по електронна поща.
През четвъртото тримесечие на 2022 година се планира разширяване на изискването за прилагане на двуфакторна автентикация и за други категории потребители на RubyGems (критериите все още не са одобрени, вероятно, както в случая с NPM, обхватът ще бъде разширен до 500-те най-популярни пакета).
Източник: opennet.ru
