GitHub מכריזה על אימות דו-גורמי אוניברסלי בשנה הבאה

GitHub הודיעה על מהלך לדרוש אימות דו-גורמי עבור כל המשתמשים המפרסמים קוד ב-GitHub.com. בשלב הראשון במרץ 2023, אימות דו-גורמי חובה יתחיל לחול על קבוצות מסוימות של משתמשים, ויכסה בהדרגה עוד ועוד קטגוריות חדשות.

השינוי ישפיע בעיקר על מפתחים המפרסמים חבילות, יישומי OAuth ומטפלי GitHub, יוצרים מהדורות, משתתפים בפיתוח פרויקטים קריטיים למערכות האקולוגיות npm, OpenSSF, PyPI ו-RubyGems, וכן על אלה המעורבים בעבודה על ארבעת מיליון הפופולריים ביותר. מאגרים. עד סוף 2023, GitHub מתכוון להשבית לחלוטין את היכולת של כל המשתמשים לדחוף שינויים מבלי להשתמש באימות דו-גורמי. ככל שמתקרב רגע המעבר לאימות דו-גורמי, יישלחו למשתמשים הודעות דואר אלקטרוני ואזהרות יוצגו בממשק.

הדרישה החדשה תחזק את ההגנה על תהליך הפיתוח ותגן על המאגרים מפני שינויים זדוניים כתוצאה מדליפת אישורים, שימוש באותה סיסמה באתר שנפרץ, פריצה למערכת המקומית של המפתח או שימוש בשיטות הנדסה חברתית. לפי GitHub, תוקפים שמקבלים גישה למאגרים כתוצאה מהשתלטות על חשבון הוא אחד האיומים המסוכנים ביותר, שכן במקרה של תקיפה מוצלחת, ניתן לבצע שינויים נסתרים במוצרים ובספריות פופולריות המשמשות כתלות.

בנוסף, אנו יכולים לציין את ההתחלה של מתן שירות חינמי לכל המשתמשים במאגרים ציבוריים ב-GitHub למעקב אחר פרסום בשוגג של נתונים סודיים, כגון מפתחות הצפנה, סיסמאות DBMS ואסימוני גישה ל-API. בסך הכל, יותר מ-200 תבניות יושמו לזיהוי סוגים שונים של מפתחות, אסימונים, אישורים ואישורים. כדי לחסל תוצאות חיוביות שגויות, רק סוגי אסימונים מובטחים נבדקים. עד סוף ינואר ההזדמנות תהיה זמינה רק למשתתפים בתוכנית בדיקות הבטא, ולאחר מכן כולם יוכלו להשתמש בשירות.

מקור: OpenNet.ru