A GitHub bejelentette, hogy megkezdi a kódot publikáló felhasználók kötelező kéttényezős hitelesítésre való fokozatos átállását. Március 13-tól a kötelező kéttényezős hitelesítés először a csomagokat publikáló fejlesztők, az OAuth-alkalmazások, valamint a GitHub-kezelők számára lép életbe, amelyek kiadások során részt vesznek, és amelyek kritikus jelentőségűek az npm, OpenSSF, PyPI és RubyGems ökoszisztéma számára. Emellett érintettek a négy millió legnépszerűbb tároló fejlesztésében is.
2023 végéig a GitHub minden felhasználó számára megtiltja a változtatások küldését kéttényezős hitelesítés alkalmazása nélkül. Ahogy közeledik a kéttényezős hitelesítésre való átállás ideje, e-mail értesítéseket küldenek a felhasználóknak és figyelmeztetéseket jelenítenek meg a felhasználói felületen. Az első figyelmeztetés elküldése után a fejlesztőknek 45 nap áll rendelkezésükre a kéttényezős hitelesítés beállítására.
A kéttényezős hitelesítéshez használható mobilalkalmazás, SMS-értesítés vagy biztonsági kulcs csatlakoztatása. A kéttényezős hitelesítés javasolt prioritási lehetősége az olyan alkalmazások használata, amelyek egyszeri jelszavakat generálnak korlátozott ideig (TOTP), mint például az Authy, a Google Authenticator és a FreeOTP.
A kéttényezős hitelesítés alkalmazása fokozza a fejlesztési folyamat védelmét, és biztosítja a tárolók védelmét a rosszindulatú változtatások elkerülése érdekében, amelyek a hitelesítő adatok kiszivárgása, az azonos jelszó kompromittált oldalon való használata, a fejlesztő helyi rendszerének meghekkelése, vagy a társadalmi manipulációs módszerek alkalmazása révén történhetnek. A GitHub véleménye szerint a fiókok megszerzésével elérhető hozzáférés a tárolókhoz az egyik legnagyobb veszélyt jelenti, mivel egy sikeres támadás esetén rosszindulatú változtatások kerülhetnek be népszerű termékekbe és könyvtárakba, amelyek függőségként használhatók.
Forrás: opennet.ru
