GitHub oznámil zahájení postupného přechodu všech uživatelů, kteří publikují kód, na povinnou dvoufaktorovou autentizaci. Od 13. března se bude dvoufaktorová autentizace povinně uplatňovat pro vybrané skupiny uživatelů a postupně se bude vztahovat na stále nové a nové kategorie. Nejprve se stane dvoufaktorová autentizace povinnou pro vývojáře, kteří publikují balíčky, OAuth aplikace a GitHub akce, které vytvářejí vydání, zapojují se do vývoje projektů, které jsou kritické pro ekosystémy npm, OpenSSF, PyPI a RubyGems, a také pro ty, kteří pracují na čtyřech milionech nejpopulárnějších repozitářů.
Do konce roku 2023 bude GitHub zakazovat možnost odesílat změny bez použití dvoufaktorové autentizace pro všechny uživatele. Jak se blíží termín přechodu na dvoufaktorovou autentizaci, budou uživatelům zasílána e-mailová oznámení a zobrazována upozornění v uživatelském rozhraní. Po odeslání prvního upozornění má vývojář 45 dní na nastavení dvoufaktorové autentizace.
Pro dvoufaktorovou autentizaci lze použít mobilní aplikaci, potvrzení prostřednictvím SMS nebo připojení bezpečnostního klíče. Jako prioritní možnost pro dvoufaktorovou autentizaci se doporučuje používat aplikace, které generují jednorázové hesla s omezenou platností (TOTP), jako jsou Authy, Google Authenticator a FreeOTP.
Přijetí dvoufaktorové autentizace posílí ochranu procesu vývoje a zabezpečí repozitáře před nenápadnými změnami v důsledku úniku přihlašovacích údajů, používání stejného hesla na kompromitované stránce, prolomení lokálního systému vývojáře nebo metodami sociálního inženýrství. Podle GitHubu je získání přístupu útočníků k repozitářům prostřednictvím převzetí účtů jednou z nejnebezpečnějších hrozeb, protože v případě úspěšného útoku může dojít k vložení škodlivých změn do populárních produktů a knihoven, které se používají jako závislosti.
Zdroj: opennet.ru
