GitHub ha annunciato l'inizio di una transizione graduale per tutti gli utenti che pubblicano codice verso l'autenticazione a due fattori obbligatoria. A partire dal 13 marzo, l'autenticazione a due fattori diventerà obbligatoria per alcuni gruppi di utenti, coinvolgendo gradualmente nuove categorie. In particolare, l'autenticazione a due fattori sarà obbligatoria per gli sviluppatori che pubblicano pacchetti, applicazioni OAuth e gestori GitHub che creano rilasci, partecipano allo sviluppo di progetti critici per l'ecosistema npm, OpenSSF, PyPI e RubyGems, nonché per coloro che lavorano su quattro milioni di repository più popolari.
Entro la fine del 2023, GitHub vieterà a tutti gli utenti la possibilità di inviare modifiche senza utilizzare l'autenticazione a due fattori. Man mano che ci si avvicina alla data di transizione all'autenticazione a due fattori, gli utenti riceveranno notifiche via email e verranno mostrati avvisi nell'interfaccia. Dopo l'invio del primo avviso, gli sviluppatori avranno 45 giorni per configurare l'autenticazione a due fattori.
Per l'autenticazione a due fattori è possibile utilizzare un'app mobile, la conferma tramite SMS o l'aggiunta di una chiave di accesso. Come opzione prioritaria per l'autenticazione a due fattori, si raccomanda di utilizzare applicazioni che generano password usa e getta con scadenza (TOTP), come Authy, Google Authenticator e FreeOTP.
L'implementazione dell'autenticazione a due fattori contribuirà a rafforzare la sicurezza del processo di sviluppo e a proteggere i repository da modifiche dannose a causa di perdite di credenziali, utilizzo della stessa password su siti compromessi, attacchi alla macchina locale dello sviluppatore o attraverso tecniche di ingegneria sociale. Secondo GitHub, l'accesso ai repository da parte di malintenzionati a causa del furto di account rappresenta una delle minacce più pericolose, poiché in caso di attacco riuscito potrebbero essere inserite modifiche dannose in prodotti e librerie popolari utilizzate come dipendenze.
Fonte: opennet.ru
