GitHub hat den schrittweisen Beginn der verpflichtenden Zwei-Faktor-Authentifizierung für alle Benutzer, die Code veröffentlichen, angekündigt. Ab dem 13. März wird die Zwei-Faktor-Authentifizierung für bestimmte Benutzergruppen verbindlich und schrittweise auf immer mehr Kategorien ausgeweitet. Zunächst wird die Zwei-Faktor-Authentifizierung für Entwickler verpflichtend, die Pakete veröffentlichen, OAuth-Anwendungen und GitHub-Handler erstellen, die an der Entwicklung von Projekten teilnehmen, die für die npm-, OpenSSF-, PyPI- und RubyGems-Ökosysteme von entscheidender Bedeutung sind, sowie für diejenigen, die an vier Millionen der beliebtesten Repositories arbeiten.
Bis Ende 2023 wird GitHub die Möglichkeit, Änderungen ohne aktivierte Zwei-Faktor-Authentifizierung vorzunehmen, für alle Benutzer untersagen. Nach und nach werden den Benutzern E-Mail-Benachrichtigungen zugesendet und Warnungen in der Benutzeroberfläche angezeigt, je näher der Umstellung auf die Zwei-Faktor-Authentifizierung sie kommen. Nach dem ersten Warnhinweis haben Entwickler 45 Tage Zeit, um die Zwei-Faktor-Authentifizierung einzurichten.
Für die Zwei-Faktor-Authentifizierung können Sie eine mobile App, eine Bestätigung per SMS oder einen Sicherheitsschlüssel verwenden. Als bevorzugte Methode für die Zwei-Faktor-Authentifizierung wird die Nutzung von Anwendungen empfohlen, die zeitlich begrenzte Einmal-Passwörter (TOTP) erstellen, wie Authy, Google Authenticator und FreeOTP.
Die Anwendung der Zwei-Faktor-Authentifizierung stärkt den Schutz des Entwicklungsprozesses und sichert Repositories gegen schädliche Änderungen, die durch das Auslesen von Zugangsdaten, die Nutzung desselben Passworts auf einer kompromittierten Website, Angriffe auf das lokale System des Entwicklers oder durch Social Engineering entstehen können. Laut GitHub gehört der Zugriff von Angreifern auf Repositories durch Kontoübernahmen zu den gefährlichsten Bedrohungen, da bei einem erfolgreichen Angriff gefährliche Änderungen in beliebte Produkte und Bibliotheken, die als Abhängigkeiten verwendet werden, eingefügt werden können.
Quelle: opennet.ru
