För att skydda mot attacker som syftar till att ta över konton och fÄ kontroll över beroenden, har RubyGems paketförrÄd meddelat att det kommer att införa obligatorisk tvÄfaktorsautentisering för konton som underhÄller de 100 mest populÀra paketen (baserat pÄ antal nedladdningar), samt för paket vars nedladdningar överstiger 165 miljoner. Implementeringen av tvÄfaktorsautentisering kommer avsevÀrt att försvÄra Ätkomsten i hÀndelse av en kompromiss av utvecklarens inloggningsuppgifter, till exempel vid ÄteranvÀndning av lösenord pÄ en kompromissad webbplats, anvÀndning av förutsÀgbara lösenord eller upphÀmtning av inloggningsuppgifter till följd av skadlig programvara pÄ utvecklarens system.
Under det första steget, nÀr man anvÀnder kommandoradsverktyg eller webbplatsen rubygems.org, kommer utvecklarna av populÀra paket att fÄ en varning om behovet av att aktivera tvÄfaktorsautentisering. Den 15 augusti kommer rekommendationen att bli ett obligatoriskt krav pÄ att aktivera tvÄfaktorsautentisering, utan vilken Ätkomst inte kommer att ges. En mÄnad och en vecka innan den obligatoriska tvÄfaktorsautentiseringen aktiveras kommer utvecklarna ocksÄ att fÄ e-postmeddelanden om detta.
I fjÀrde kvartalet 2022 planeras att utvidga kravet pÄ tillÀmpning av tvÄfaktorsautentisering till andra kategorier av RubyGems-anvÀndare (kriterierna har Ànnu inte bekrÀftats, men sannolikt, som i fallet med NPM, kommer omfattningen att utvidgas till de 500 mest populÀra paketen).
KĂ€lla: opennet.ru
