GitHub har annonceret begyndelsen på en gradvis overgang af alle brugere, der publicerer kode, til obligatorisk tofaktorgodkendelse. Fra den 13. marts vil obligatorisk tofaktorgodkendelse begynde at gælde for bestemte brugergrupper og gradvist omfatte flere og flere kategorier. Først vil tofaktorgodkendelse blive obligatorisk for udviklere, der publicerer pakker, OAuth-applikationer og GitHub-handlere, der opretter versioner, og som er involveret i udviklingen af projekter, der er kritisk vigtige for økosystemet npm, OpenSSF, PyPI og RubyGems, samt dem, der arbejder på fire millioner af de mest populære repositories.
Inden udgangen af 2023 vil muligheden for at sende ændringer uden anvendelse af tofaktorgodkendelse blive forbudt for alle brugere. Efterhånden som overgangen til tofaktorgodkendelse nærmer sig, vil brugerne modtage e-mail-notifikationer og se advarsler i brugergrænsefladen. Efter den første advarsel får udvikleren 45 dage til at indstille tofaktorgodkendelse.
Til tofaktorgodkendelse kan der bruges en mobilapp, bekræftelse via SMS eller tilslutning af en adgangsnøgle. Som en prioriteret mulighed for tofaktorgodkendelse anbefales det at anvende apps, der genererer engangskoder med begrænset holdbarhed (TOTP), såsom Authy, Google Authenticator og FreeOTP.
Anvendelsen af tofaktorgodkendelse vil forstærke sikkerheden i udviklingsprocessen og beskytte repositories mod ondsindede ændringer som følge af lækage af legitimationsoplysninger, brug af den samme adgangskode på et kompromitteret websted, sikkerhedsbrud i udviklerens lokale system eller brug af social engineering. Ifølge GitHub er adgangen til repositories som følge af kaprede konti en af de mest alvorlige trusler, da der i tilfælde af en vellykket angreb kan blive indsat ondsindede ændringer i populære produkter og biblioteker, der anvendes som afhængigheder.
Kilde: opennet.ru
