GitHub bo od 2. marca izvajal zahtevo 13FA za vse sodelujoče razvijalce
2 min. prebrati
Objavljeno dne
Dajte v skupno rabo ta članek
Izboljšajte ta vodnik
Preberite našo stran za razkritje, če želite izvedeti, kako lahko pomagate MSPoweruser vzdrževati uredniško skupino Preberi več
GitHub napovedal, da bo zahteval, da vsi sodelujoči razvijalci omogočijo dvokomponentna overitev (2FA) od 13. marca. Po navedbah podjetja gre za pobudo za varen razvoj programske opreme in dobavno verigo.
»GitHub je osrednjega pomena za dobavno verigo programske opreme in varovanje dobavne verige programske opreme se začne pri razvijalcu,« pravi GitHub o svojem zadnjem blog. »Naša pobuda 2FA je del celotnega prizadevanja platforme za zaščito razvoja programske opreme z izboljšanjem varnosti računa. Računi razvijalcev so pogoste tarče socialnega inženiringa in prevzema računov (ATO). Zaščita razvijalcev in potrošnikov odprtokodnega ekosistema pred tovrstnimi napadi je prvi in najbolj kritičen korak k zavarovanju dobavne verige.«
Implementacija zahteve 2FA bo postopna, podjetje pa je dejalo, da bo najprej doseglo manjše skupine razvijalcev in skrbnikov. Poleg tega bo izbor skupin razvijalcev "temeljil na dejanjih, ki so jih izvedli, ali kodi, h kateri so prispevali," pravi GitHub. To se bo nadaljevalo tudi v prihodnjem letu.
Tisti, ki bodo izbrani, bodo obveščeni po e-pošti in bodo videli tudi pasico za vpis na GitHub.com. Ko se obvestilo začne, bodo razvijalci imeli 45 dni časa, da nastavijo svoj 2FA. Po tem obdobju bo prišlo do še enega tedenskega podaljšanja, vendar bo dostop do računa takrat omejen, glede na GitHub. S tem se tistim, ki bodo zgodaj obveščeni o novi varnostni zahtevi, svetuje, da čim prej popravijo svoj 2FA.
Po drugi strani pa podjetje spodbuja sodelujoče, ki bodo imeli novo zahtevo, da se namesto SMS-a odločijo za varnejše metode 2FA.
"Močno priporočamo uporabo varnostnih ključev in TOTP-jev, kjer koli je to mogoče," piše v blogu. »2FA, ki temelji na SMS-ih, ne zagotavlja enake ravni zaščite in ni več priporočljiv v skladu z NIST 800-63B. Najmočnejše široko dostopne metode so tiste, ki podpirajo standard varnega preverjanja pristnosti WebAuthn. Te metode vključujejo fizične varnostne ključe in osebne naprave, ki podpirajo tehnologije, kot sta Windows Hello ali Face ID/Touch ID.«
