Om te beschermen tegen accountovername-aanvallen die gericht zijn op het verkrijgen van controle over afhankelijkheden, heeft de RubyGems-pakketrepository aangekondigd over te schakelen naar verplichte tweefactorauthenticatie voor accounts die de 100 populairste pakketten (op basis van het aantal downloads) onderhouden, evenals voor pakketten waarvan het aantal downloads meer dan 165 miljoen bedraagt. Het gebruik van tweefactorauthenticatie zal het verkrijgen van toegang aanzienlijk bemoeilijken in het geval van compromittering van de ontwikkelaarsgegevens, bijvoorbeeld bij hergebruik van wachtwoorden op een gecompromitteerde site, het gebruik van voorspelbare wachtwoorden of het onderscheppen van inloggegevens als gevolg van kwaadaardige activiteiten op het systeem van de ontwikkelaar.
In de eerste fase, bij gebruik van de opdrachtregelhulpmiddelen of de website rubygems.org, zullen de onderhouders van populaire pakketten een waarschuwing ontvangen over de noodzaak om tweefactorauthenticatie in te schakelen. Op 15 augustus verandert deze aanbeveling in een verplichte eis voor het inschakelen van tweefactorauthenticatie, zonder welke geen toegang zal worden verleend. Een maand en een week voor het inschakelen van de verplichte tweefactorauthenticatie zullen de onderhouders ook per e-mail geïnformeerd worden.
In het vierde kwartaal van 2022 is het de bedoeling om de eis voor het gebruik van tweefactorauthenticatie uit te breiden naar andere categorieën gebruikers van RubyGems (de criteria zijn nog niet vastgesteld, waarschijnlijk, zoals in het geval van NPM, zal de dekking worden uitgebreid naar de 500 populairste pakketten).
Bron: opennet.ru
