GitHub is begonnen met de implementatie van verplichte tweefactorauthenticatie.

GitHub heeft aangekondigd te beginnen met de gefaseerde invoering van verplichte tweefactorauthenticatie voor alle gebruikers die code publiceren. Vanaf 13 maart wordt tweefactorauthenticatie verplicht voor bepaalde groepen gebruikers en breidt dit zich geleidelijk uit naar nieuwe categorieën. In eerste instantie wordt tweefactorauthenticatie verplicht voor ontwikkelaars die pakketten, OAuth-applicaties en GitHub-handlers publiceren die releases vormen en deelnemen aan projecten die cruciaal zijn voor de ecosystems npm, OpenSSF, PyPI en RubyGems, evenals voor hen die betrokken zijn bij vier miljoen van de populairste repositories.

Tot het einde van 2023 wordt het voor alle gebruikers verboden om wijzigingen te verzenden zonder gebruik te maken van tweefactorauthenticatie. Naarmate het moment van de invoering van tweefactorauthenticatie nadert, ontvangen gebruikers e-mailmeldingen en worden er waarschuwingen in de interface weergegeven. Na het versturen van de eerste waarschuwing krijgt de ontwikkelaar 45 dagen om tweefactorauthenticatie in te stellen.

Voor tweefactorauthenticatie kan een mobiele app, bevestiging via SMS of een toegangssleutel worden gebruikt. Als voorkeursoptie voor tweefactorauthenticatie wordt aangeraden om apps te gebruiken die eenmalige wachtwoorden met een beperkte geldigheidsduur genereren (TOTP), zoals Authy, Google Authenticator en FreeOTP.

Het gebruik van tweefactorauthenticatie zal het ontwikkelingsproces beter beschermen en repositories beveiligen tegen kwaadaardige wijzigingen als gevolg van het lekken van inloggegevens, het gebruik van dezelfde wachtwoorden op gecompromitteerde websites, hacks op lokale systemen van ontwikkelaars of het toepassen van sociale-engineeringmethoden. Volgens GitHub is het verkrijgen van toegang tot repositories door aanvallers via het kapen van accounts een van de meest bedreigende risico’s, omdat bij een succesvolle aanval schadelijke wijzigingen in populaire producten en bibliotheken kunnen worden doorgevoerd die als afhankelijkheden worden gebruikt.

Bron: opennet.ru