Para proteger contra ataques de sequestro de contas, visando obter controle sobre as dependências, o repositório de pacotes RubyGems anunciou a adoção da autenticação de dois fatores obrigatória para as contas que mantêm os 100 pacotes mais populares (com base no número de downloads), assim como para os pacotes que ultrapassam 165 milhões de downloads. A adoção da autenticação de dois fatores complicará significativamente o acesso em caso de comprometimento das credenciais do desenvolvedor, por exemplo, no caso de reutilização de senhas em um site comprometido, uso de senhas previsíveis ou interceptação de credenciais devido a atividades de malware no sistema do desenvolvedor.
Na primeira fase, ao utilizar utilitários de linha de comando ou o site rubygems.org, os mantenedores dos pacotes populares receberão um aviso sobre a necessidade de ativar a autenticação de dois fatores. Em 15 de agosto, a recomendação se tornará uma exigência obrigatória para a ativação da autenticação de dois fatores, sem a qual o acesso não será concedido. Um mês e uma semana antes da activação obrigatória, os mantenedores também receberão notificações por e-mail.
No quarto trimestre de 2022, está previsto expandir a exigência da autenticação de dois fatores para outras categorias de usuários do RubyGems (os critérios ainda não foram aprovados, provavelmente, como no caso do NPM, a cobertura será ampliada para os 500 pacotes mais populares).
Fonte: opennet.ru
