Aby se chránil před útoky na získání přístupu k uživatelským účtům, které se snaží získat kontrolu nad závislostmi, oznámil repozitář balíčků RubyGems zavedení povinné dvoufaktorové autentizace pro účty správců 100 nejpopulárnějších balíčků (podle počtu stažení) a také pro balíčky, jejichž počet stažení přesahuje 165 milionů. Použití dvoufaktorové autentizace zásadně ztíží získání přístupu v případě kompromitace údajů vývojáře, například při opětovném použití hesla na kompromitované stránce, použití předvídatelných hesel nebo odcizení údajů vinou malwaru v systému vývojáře.
V první fázi při použití příkazových utilit nebo webu rubygems.org budou správcům populárních balíčků vystavena upozornění na nutnost zapnutí dvoufaktorové autentizace. 15. srpna se doporučení změní na povinné požadavky na zapnutí dvoufaktorové autentizace, bez které nebude přístup povolen. Po měsících a týdnu před zapnutím povinné dvoufaktorové autentizace obdrží správci také oznámení e-mailem.
Ve 4. čtvrtletí 2022 se plánuje rozšíření požadavku na použití dvoufaktorové autentizace i pro další kategorie uživatelů RubyGems (kritéria dosud nebyla schválena, pravděpodobně, stejně jako v případě NPM, bude rozšířená na 500 nejpopulárnějších balíčků).
Zdroj: opennet.ru
