GitHub объявил о начале поэтапного перевода всех пользователей, публикующих код, на обязательную двухфакторную аутентификацию. C 13 марта обязательная двухфакторная аутентификация начнёт применяться для отдельных групп пользователей, постепенно охватывая всё новые и новые категории. В первую очередь двухфакторная аутентификация станет обязательной для разработчиков, публикующих пакеты, OAuth-приложения и GitHub-обработчики, формирующих релизы, участвующих в разработке проектов, критически важных для экосистем npm, OpenSSF, PyPI и RubyGems, а также вовлечённых в работу над четырьмя миллионами самых популярных репозиториев.
До конца 2023 года возможность отправки изменений без применения двухфакторной аутентификации будет запрещена для всех пользователей GitHub. По мере приближения момента перевода на двухфакторную аутентификацию пользователям будут направляться email-уведомления и выводиться предупреждения в интерфейсе. После отправки первого предупреждения разработчику даётся 45 дней на настройку двухфакторной аутентификации.
Для двухфакторной проверки подлинности можно использовать мобильное приложение, подтверждение через SMS или прикрепление ключа доступа. В качестве приоритетного варианта для двухфакторной проверки подлинности рекомендуется использовать приложения, создающие одноразовые пароли с ограниченным сроком действия (TOTP), такие как Authy, Google Authenticator и FreeOTP.
Применение двухфакторной аутентификаци позволит усилить защиту процесса разработки и обезопасить репозитории от внесения вредоносных изменений в результате утечки учётных данных, использования того же пароля на скомпрометированном сайте, взломов локальной системы разработчика или применения методов социального инжиниринга. По мнению GitHub получение злоумышленниками доступа к репозиториям в результате захвата учётных записей является одной из наиболее опасных угроз, так как в случае успешной атаки может быть осуществлена подстановка вредоносных изменений в популярные продукты и библиотеки, используемые в качестве зависимостей.
// cc-by opennet.ru
// converted with crypt’s opennet autoreposter
>>> Подробности
