Το GitHub θα εφαρμόσει την απαίτηση 2FA σε όλους τους προγραμματιστές που συνεισφέρουν από τις 13 Μαρτίου

GitHub ανακοίνωσε ότι θα απαιτούσε από όλους τους προγραμματιστές να το ενεργοποιήσουν έλεγχος ταυτότητας δύο παραγόντων (2FA) από τις 13 Μαρτίου. Σύμφωνα με την εταιρεία, είναι μια πρωτοβουλία για την εξασφάλιση της ανάπτυξης λογισμικού και της εφοδιαστικής αλυσίδας.

«Το GitHub είναι κεντρικό στην αλυσίδα εφοδιασμού λογισμικού και η διασφάλιση της εφοδιαστικής αλυσίδας λογισμικού ξεκινά από τον προγραμματιστή», λέει το GitHub στην τελευταία του blog. «Η πρωτοβουλία μας 2FA είναι μέρος μιας προσπάθειας σε επίπεδο πλατφόρμας για την διασφάλιση της ανάπτυξης λογισμικού βελτιώνοντας την ασφάλεια του λογαριασμού. Οι λογαριασμοί προγραμματιστών αποτελούν συχνούς στόχους κοινωνικής μηχανικής και εξαγοράς λογαριασμού (ATO). Η προστασία των προγραμματιστών και των καταναλωτών του οικοσυστήματος ανοιχτού κώδικα από αυτούς τους τύπους επιθέσεων είναι το πρώτο και πιο κρίσιμο βήμα προς τη διασφάλιση της εφοδιαστικής αλυσίδας».

Η εφαρμογή της απαίτησης 2FA θα είναι σταδιακή και η εταιρεία είπε ότι θα απευθυνθεί πρώτα σε μικρότερες ομάδες προγραμματιστών και διαχειριστών. Επιπλέον, η επιλογή των ομάδων προγραμματιστών θα «βάσει των ενεργειών που έχουν κάνει ή του κώδικα στον οποίο έχουν συνεισφέρει», σύμφωνα με το GitHub. Αυτό θα συνεχιστεί κατά τη διάρκεια του επόμενου έτους. 

Όσοι θα επιλεγούν θα ειδοποιηθούν μέσω email και θα δουν επίσης ένα banner εγγραφής στο GitHub.com. Μόλις ξεκινήσει η ειδοποίηση, οι προγραμματιστές θα έχουν στη διάθεσή τους 45 ημέρες για να ρυθμίσουν το 2FA τους. Θα υπάρξει μια άλλη παράταση μίας εβδομάδας μετά από αυτήν την περίοδο, αλλά η πρόσβαση στον λογαριασμό θα είναι περιορισμένη εκείνη τη στιγμή, σύμφωνα με το GitHub. Με αυτό, συνιστάται σε όσους θα ενημερωθούν έγκαιρα για τη νέα απαίτηση ασφαλείας να διορθώσουν το 2FA τους το συντομότερο δυνατό.

Από την άλλη πλευρά, η εταιρεία ενθαρρύνει τους συνεισφέροντες που θα έχουν τη νέα απαίτηση να επιλέξουν πιο ασφαλείς μεθόδους 2FA αντί για SMS.

«Συνιστούμε ανεπιφύλακτα τη χρήση κλειδιών ασφαλείας και TOTP όπου είναι δυνατόν», αναφέρει το ιστολόγιο. «Το 2FA που βασίζεται σε SMS δεν παρέχει το ίδιο επίπεδο προστασίας και δεν συνιστάται πλέον σύμφωνα με το NIST 800-63B. Οι ισχυρότερες μέθοδοι που είναι ευρέως διαθέσιμες είναι αυτές που υποστηρίζουν το ασφαλές πρότυπο ελέγχου ταυτότητας WebAuthn. Αυτές οι μέθοδοι περιλαμβάνουν φυσικά κλειδιά ασφαλείας, καθώς και προσωπικές συσκευές που υποστηρίζουν τεχνολογίες, όπως το Windows Hello ή το Face ID/Touch ID."