GitHub ha annunciato l'inizio della transizione graduale di tutti gli utenti che pubblicano codice verso l'autenticazione a due fattori obbligatoria. A partire dal 13 marzo, l'autenticazione a due fattori sarà applicata a gruppi selezionati di utenti, espandendosi progressivamente a nuove categorie. Inizialmente, l'autenticazione a due fattori diventerà obbligatoria per gli sviluppatori che pubblicano pacchetti, applicazioni OAuth e GitHub Actions che formano rilasci, partecipano a progetti critici per gli ecosistemi npm, OpenSSF, PyPI e RubyGems, e sono coinvolti nel lavoro su quattro milioni dei repository più popolari.
Entro la fine del 2023, GitHub vieterà a tutti gli utenti di inviare modifiche senza l'autenticazione a due fattori. Man mano che si avvicina la data di passaggio all'autenticazione a due fattori, gli utenti riceveranno notifiche via email e verranno mostrate avvertenze nell'interfaccia. Dopo l'invio della prima avvertenza, lo sviluppatore avrà 45 giorni per configurare l'autenticazione a due fattori.
Per l'autenticazione a due fattori, puoi utilizzare un'app mobile, la conferma tramite SMS o l'allegazione di una chiave di accesso. Si consiglia di utilizzare come opzione principale per l'autenticazione a due fattori applicazioni che generano password monouso con una durata limitata (TOTP), come Authy, Google Authenticator e FreeOTP.
L'uso dell'autenticazione a due fattori aumenterà la protezione del processo di sviluppo e proteggerà i repository da modifiche dannose a causa di fuga di credenziali, uso della stessa password su siti compromessi, violazioni del sistema locale del sviluppatore o tecniche di ingegneria sociale. Secondo GitHub, l'accesso ai repository da parte di malintenzionati a seguito di account compromessi rappresenta una delle minacce più gravi, poiché in caso di attacco riuscito potrebbero essere introdotte modifiche dannose in prodotti e librerie popolari utilizzate come dipendenze.
Fonte: opennet.ru
