GitHub har tillkännagivit att de inleder en etappvis övergång av alla användare som publicerar kod till obligatorisk tvåfaktorsautentisering. Från den 13 mars kommer obligatorisk tvåfaktorsautentisering att börja tillämpas för vissa användargrupper, vilket gradvis omfattar allt fler kategorier. Först och främst kommer tvåfaktorsautentisering att bli obligatorisk för utvecklare som publicerar paket, OAuth-appar och GitHub-hanterare som bygger releaser och deltar i utvecklingen av projekt som är kritiska för ekosystemen npm, OpenSSF, PyPI och RubyGems, samt de som är involverade i arbetet med fyra miljoner av de mest populära repositorierna.
Innan slutet av 2023 kommer GitHub att förbjuda möjligheten att skicka ändringar utan att använda tvåfaktorsautentisering för alla användare. I takt med att tiden för övergången till tvåfaktorsautentisering närmar sig kommer användarna att få e-postmeddelanden och varningar i gränssnittet. Efter att det första varningsmeddelandet har skickats får utvecklaren 45 dagar på sig att ställa in tvåfaktorsautentisering.
För tvåfaktorsautentisering kan du använda en mobilapp, bekräftelse via SMS eller en säkerhetsnyckel. Som prioriterad metod för tvåfaktorsautentisering rekommenderas appar som genererar engångslösenord med begränsad giltighetstid (TOTP), som Authy, Google Authenticator och FreeOTP.
Implementeringen av tvåfaktorsautentisering kommer att stärka skyddet av utvecklingsprocessen och skydda repositorier mot skadliga ändringar till följd av dataintrång, användning av samma lösenord på komprometterade webbplatser, hack på den lokala utvecklarens system eller metoder för social ingenjörskonst. Enligt GitHub är åtkomst till repositorier av illvilliga aktörer genom kapning av konton en av de mest allvarliga hoten, eftersom en framgångsrik attack kan leda till insättning av skadliga ändringar i populära produkter och bibliotek som används som beroenden.
Källa: opennet.ru
