Para protegerse contra ataques de secuestro de cuentas, dirigidos a obtener control sobre las dependencias, el repositorio de paquetes RubyGems ha anunciado la implementación de la autenticación de dos factores obligatoria para las cuentas que mantienen los 100 paquetes más populares (por número de descargas), así como para los paquetes que superan las 165 millones de descargas. La aplicación de la autenticación de dos factores complicará significativamente el acceso en caso de compromiso de las credenciales del desarrollador, por ejemplo, mediante el uso de una contraseña reutilizada en un sitio comprometido, el uso de contraseñas predecibles o la interceptación de las credenciales debido a actividad de malware en el sistema del desarrollador.
En la primera etapa, al utilizar las utilidades de línea de comandos o el sitio rubygems.org, los mantenedores de paquetes populares recibirán una advertencia sobre la necesidad de habilitar la autenticación de dos factores. El 15 de agosto, la recomendación se convertirá en un requisito obligatorio para activar la autenticación de dos factores, sin la cual no se proporcionará acceso. Un mes y una semana antes de la implementación obligatoria de la autenticación de dos factores, los mantenedores también recibirán notificaciones por correo electrónico.
En el cuarto trimestre de 2022, se planea ampliar el requisito de la autenticación de dos factores a otras categorías de usuarios de RubyGems (los criterios aún no han sido aprobados; probablemente, al igual que en el caso de NPM, la cobertura se ampliará a los 500 paquetes más populares).
Fuente: opennet.ru
