GitHub mettra en œuvre l'exigence 2FA pour tous les développeurs contributeurs à partir du 13 mars

GitHub a annoncé qu'il faudrait que tous les développeurs contributeurs activent authentification à deux facteurs (2FA) à partir du 13 mars. Selon l'entreprise, il s'agit d'une initiative visant à sécuriser le développement de logiciels et la chaîne d'approvisionnement.

"GitHub est au cœur de la chaîne d'approvisionnement logicielle, et la sécurisation de la chaîne d'approvisionnement logicielle commence par le développeur", déclare GitHub dans son dernier blogue. "Notre initiative 2FA fait partie d'un effort à l'échelle de la plate-forme pour sécuriser le développement de logiciels en améliorant la sécurité des comptes. Les comptes des développeurs sont des cibles fréquentes pour l'ingénierie sociale et la prise de contrôle de compte (ATO). Protéger les développeurs et les consommateurs de l'écosystème open source contre ces types d'attaques est la première et la plus importante étape vers la sécurisation de la chaîne d'approvisionnement.

La mise en œuvre de l'exigence 2FA sera progressive et la société a déclaré qu'elle s'adresserait d'abord à de plus petits groupes de développeurs et d'administrateurs. De plus, la sélection des groupes de développeurs sera "basée sur les actions qu'ils ont entreprises ou sur le code auquel ils ont contribué", selon GitHub. Cela se poursuivra au cours de l'année prochaine. 

Ceux qui seront sélectionnés seront informés par e-mail et verront également une bannière d'inscription sur GitHub.com. Une fois la notification lancée, les développeurs auront 45 jours pour configurer leur 2FA. Il y aura une autre prolongation d'une semaine après cette période, mais l'accès au compte sera limité à ce moment-là, selon GitHub. Avec cela, ceux qui seront informés tôt de la nouvelle exigence de sécurité sont invités à corriger leur 2FA dès que possible.

D'autre part, l'entreprise encourage les contributeurs qui auront la nouvelle exigence à opter pour des méthodes 2FA plus sécurisées au lieu des SMS.

"Nous recommandons fortement l'utilisation de clés de sécurité et de TOTP dans la mesure du possible", indique le blog. "La 2FA basée sur SMS n'offre pas le même niveau de protection et n'est plus recommandée par le NIST 800-63B. Les méthodes les plus puissantes largement disponibles sont celles qui prennent en charge la norme d'authentification sécurisée WebAuthn. Ces méthodes incluent des clés de sécurité physiques, ainsi que des appareils personnels prenant en charge des technologies telles que Windows Hello ou Face ID/Touch ID.