For at beskytte mod kontoovertagelsesangreb, der sigter mod at få kontrol over afhængigheder, har RubyGems pakkerepositoriet annonceret overgangen til obligatorisk tofaktorautentifikation for konti, der vedligeholder de 100 mest populære pakker (baseret på antallet af downloads), samt pakker med over 165 millioner downloads. Indførelsen af tofaktorautentifikation vil væsentligt komplicere adgangen i tilfælde af kompromittering af udviklerens legitimationsoplysninger, for eksempel ved genbrug af adgangskoder på et kompromitteret websted, anvendelse af forudsigelige adgangskoder eller opsnapning af legitimationsoplysninger som følge af ondsindet softwareaktivitet på udviklerens system.
I den første fase vil brugere af kommandolinjeværktøjer eller rubygems.org-webstedet, der vedligeholder populære pakker, modtage en advarsel om nødvendigheden af at aktivere tofaktorautentifikation. Den 15. august vil anbefalingen ændre sig til et obligatorisk krav om aktivering af tofaktorautentifikation, uden hvilken adgangen ikke vil blive givet. En måned og en uge før indførelsen af den obligatoriske tofaktorautentifikation vil der også blive sendt e-mail-notifikationer til vedligeholdere.
I fjerde kvartal af 2022 planlægges det at udvide kravet om anvendelse af tofaktorautentifikation til andre brugergrupper af RubyGems (kriterierne er endnu ikke fastsat, men det er sandsynligt, at dækningen som i tilfælde af NPM vil blive udvidet til de 500 mest populære pakker).
Kilde: opennet.ru
