GitHub implementerer 2FA-krav til alle bidragende udviklere fra den 13. marts
2 min. Læs
Udgivet den
Del denne artikel
Forbedre denne vejledning
Læs vores oplysningsside for at finde ud af, hvordan du kan hjælpe MSPoweruser med at opretholde redaktionen Læs mere
GitHub annonceret, at det ville kræve, at alle bidragende udviklere aktiverer to-faktor autentificering (2FA) starter den 13. marts. Ifølge virksomheden er det et initiativ til at sikre softwareudvikling og forsyningskæde.
"GitHub er central i softwareforsyningskæden, og sikring af softwareforsyningskæden starter med udvikleren," siger GitHub på sin seneste blog. "Vores 2FA-initiativ er en del af en platform-dækkende indsats for at sikre softwareudvikling ved at forbedre kontosikkerheden. Udviklerkonti er hyppige mål for social engineering og kontoovertagelse (ATO). At beskytte udviklere og forbrugere af open source-økosystemet mod disse typer angreb er det første og mest kritiske skridt mod at sikre forsyningskæden."
Implementeringen af 2FA-kravet vil være gradvis, og virksomheden sagde, at det først ville nå ud til mindre grupper af udviklere og administratorer. Yderligere vil udvælgelsen af grupper af udviklere være "baseret på de handlinger, de har foretaget, eller den kode, de har bidraget til," ifølge GitHub. Dette vil fortsætte i løbet af det næste år.
De, der bliver udvalgt, vil blive underrettet via e-mail og vil også se et tilmeldingsbanner på GitHub.com. Når meddelelsen starter, har udviklere 45 dage til at konfigurere deres 2FA. Der vil være endnu en uges forlængelse efter denne periode, men kontoadgangen vil være begrænset på det tidspunkt, ifølge GitHub. Med dette rådes de, der vil blive underrettet tidligt om det nye sikkerhedskrav, til at rette deres 2FA hurtigst muligt.
På den anden side opfordrer virksomheden de bidragydere, der får det nye krav, til at vælge mere sikre 2FA-metoder i stedet for SMS.
"Vi anbefaler kraftigt brugen af sikkerhedsnøgler og TOTP'er, hvor det er muligt," står der på bloggen. "SMS-baseret 2FA giver ikke det samme niveau af beskyttelse, og det anbefales ikke længere under NIST 800-63B. De stærkeste metoder, der er bredt tilgængelige, er dem, der understøtter WebAuthn-standarden for sikker godkendelse. Disse metoder omfatter fysiske sikkerhedsnøgler såvel som personlige enheder, der understøtter teknologier, såsom Windows Hello eller Face ID/Touch ID."
