GitHub hat den Beginn einer schrittweisen Umstellung aller Benutzer, die Code veröffentlichen, auf eine verpflichtende Zwei-Faktor-Authentifizierung angekündigt. Ab dem 13. März wird die verpflichtende Zwei-Faktor-Authentifizierung für bestimmte Benutzergruppen eingeführt und schrittweise auf immer neue Kategorien ausgeweitet. Zunächst wird die Zwei-Faktor-Authentifizierung für Entwickler verpflichtend, die Pakete, OAuth-Anwendungen und GitHub-Handler veröffentlichen, die Releases erstellen und an der Entwicklung von Projekten mitwirken, die für das npm-, OpenSSF-, PyPI- und RubyGems-Ökosystem von entscheidender Bedeutung sind sowie an vier Millionen der beliebtesten Repositories beteiligt sind.
Bis Ende 2023 wird GitHub allen Benutzern das Einreichen von Änderungen ohne aktive Zwei-Faktor-Authentifizierung verbieten. Mit dem Herannahen des Umstellungstermins auf die Zwei-Faktor-Authentifizierung werden den Benutzern E-Mail-Benachrichtigungen zugestellt und Warnungen im Interface angezeigt. Nach dem Versand der ersten Warnung erhält der Entwickler 45 Tage Zeit, um die Zwei-Faktor-Authentifizierung einzurichten.
Für die Zwei-Faktor-Authentifizierung kann eine mobile App, die Bestätigung per SMS oder der Anschluss eines Zugriffsschlüssels verwendet werden. Als priorisierte Möglichkeit zur Zwei-Faktor-Authentifizierung wird empfohlen, Anwendungen zu verwenden, die zeitlich begrenzte Einmal-Passwörter (TOTP) erstellen, wie Authy, Google Authenticator und FreeOTP.
Die Anwendung der Zwei-Faktor-Authentifizierung wird es ermöglichen, den Entwicklungsprozess zu schützen und die Repositories vor schädlichen Änderungen zu sichern, die durch Datenlecks, die Verwendung des gleichen Passworts auf kompromittierten Websites, Hacks des lokalen Systems des Entwicklers oder durch Social Engineering entstehen können. Laut GitHub gehört der Zugriff von Angreifern auf Repositories infolge des Kontenraubs zu den gefährlichsten Bedrohungen, da im Falle eines erfolgreichen Angriffs schädliche Änderungen an beliebten Produkten und Bibliotheken, die als Abhängigkeiten verwendet werden, eingeführt werden können.
Quelle: opennet.ru
