Na ochranu pred útokmi zameranými na preberanie účtov, ktoré sa snažia získať kontrolu nad závislosťami, repozitár balíčkov RubyGems oznámil prechod na povinné používanie dvojfaktorovej autentizácie pre účty správcov 100 najpopulárnejších balíkov (podľa počtu stiahnutí), ako aj pre balíky, ktorých počet stiahnutí presahuje 165 miliónov. Používanie dvojfaktorovej autentizácie podstatne sťažuje prístup v prípade kompromitácie prihlasovacích údajov vývojára, napríklad pri opätovnom použití hesla na skompromitovanej stránke, použití predvídateľných hesiel alebo zachytení prihlasovacích údajov v dôsledku aktivity škodlivého softvéru v systéme vývojára.
V prvej fáze, pri používaní príkazového riadku alebo webovej stránky rubygems.org, budú správcovia populárnych balíkov dostávať upozornenie o potrebe povolenia dvojfaktorovej autentizácie. 15. augusta sa odporúčanie zmení na povinné požiadavky na povolenie dvojfaktorovej autentizácie, bez ktorej nebude poskytnutý prístup. Mesac pred a týždeň pred zavedením povinnej dvojfaktorovej autentizácie budú správcovia tiež dostávať oznámenia e-mailom.
V 4. štvrťroku 2022 je plánované rozšíriť požiadavku na použitie dvojfaktorovej autentizácie aj pre iné kategórie používateľov RubyGems (kritériá zatiaľ nie sú schválené, pravdepodobne ako v prípade NPM, sa rozsah rozšíri na 500 najpopulárnejších balíkov).
Zdroj: opennet.ru
