Kako bi se zaštitili od napada usmjerenih na preuzimanje kontrola nad računima koji imaju za cilj pridobijanje kontrole nad ovisnostima, RubyGems repozitorij paketa najavio je uvođenje obavezne dvofaktorske autentifikacije za račune koji održavaju 100 najpopularnijih paketa (po broju preuzimanja), kao i za pakete čiji broj preuzimanja premašuje 165 milijuna. Primjena dvofaktorske autentifikacije značajno otežava pristup u slučaju kompromitacije vjerodajnica programera, na primjer, prilikom ponovne upotrebe lozinke na kompromitiranom web-mjestu, korištenja lako pogodivih lozinki ili presretanja vjerodajnica uslijed aktivnosti zlonamjernog softvera na sustavu programera.
U prvoj fazi, prilikom korištenja naredbenih linija ili web stranice rubygems.org, održavateljima popularnih paketa bit će prikazano upozorenje o potrebi uključivanja dvofaktorske autentifikacije. Od 15. kolovoza ova preporuka će postati obavezna, te će se pristup onemogućiti bez uključene dvofaktorske autentifikacije. Mjesec i tjedan dana prije obveznog uključivanja dvofaktorske autentifikacije, održavateljima će također biti poslana obavijest putem e-pošte.
U četvrtom kvartalu 2022. godine planira se proširiti zahtjev za primjenu dvofaktorske autentifikacije i na druge kategorije korisnika RubyGems (kriteriji još nisu utvrđeni, vjerojatno će, kao u slučaju s NPM-om, obuhvat biti proširen na 500 najpopularnijih paketa).
Izvor: opennet.ru
