O GitHub anunciou o início da transição gradual de todos os usuários que publicam código para a autenticação de dois fatores obrigatória. A partir de 13 de março, a autenticação de dois fatores começará a ser aplicada a grupos específicos de usuários, abrangendo gradualmente novas categorias. Inicialmente, a autenticação de dois fatores será obrigatória para desenvolvedores que publicam pacotes, aplicativos OAuth e manipuladores do GitHub que formam lançamentos, envolvidos no desenvolvimento de projetos críticos para os ecossistemas npm, OpenSSF, PyPI e RubyGems, além de colaborar em quatro milhões dos repositórios mais populares.
Até o final de 2023, o GitHub proibirá a possibilidade de enviar alterações sem o uso da autenticação de dois fatores para todos os usuários. À medida que se aproxima a data de transição para a autenticação de dois fatores, os usuários receberão notificações por e-mail e alertas na interface. Após o envio do primeiro aviso, é concedido ao desenvolvedor um prazo de 45 dias para configurar a autenticação de dois fatores.
Para a verificação de dois fatores, é possível utilizar um aplicativo móvel, a confirmação por SMS ou um chaveiro de acesso. Como opção preferencial para a autenticação de dois fatores, recomenda-se o uso de aplicativos que geram senhas temporárias (TOTP), como Authy, Google Authenticator e FreeOTP.
A implementação da autenticação de dois fatores permitirá fortalecer a proteção do processo de desenvolvimento e proteger os repositórios contra alterações maliciosas devido a vazamentos de credenciais, uso da mesma senha em um site comprometido, invasões do sistema local do desenvolvedor ou aplicações de métodos de engenharia social. Segundo o GitHub, o acesso não autorizado por agentes maliciosos aos repositórios devido ao comprometimento de contas é uma das ameaças mais perigosas, pois, em caso de ataque bem-sucedido, alterações maliciosas podem ser inseridas em produtos populares e bibliotecas que são utilizadas como dependências.
Fonte: opennet.ru
