В течение нескольких месяцев мы обсуждали в различных публикациях проблемы безопасности , возникшие на GitHub, и меры, которые они планировали внедрить в платформу для более эффективного противодействия уязвимостям безопасности, которые хакеры использовали для доступа к репозиториям проектов.
А теперь GitHub объявил, что потребует от всех пользователей, вносящих код на платформу , включить одну или несколько форм двухфакторной аутентификации (2FA).
«GitHub находится здесь в уникальном положении, просто потому, что подавляющее большинство сообществ и создателей открытого исходного кода живут на GitHub.com, мы можем оказать значительное положительное влияние на безопасность глобальной экосистемы, подняв планку информационной безопасности. », — сказал Майк Хэнли, директор по безопасности GitHub (CSO). «Мы считаем, что это действительно одно из лучших преимуществ для всей экосистемы, которое мы можем предложить, и мы стремимся к тому, чтобы любые проблемы или препятствия были преодолены для обеспечения успешного внедрения. »
GitHub объявил, что все пользователи, загружающие код на сайт, должны будут включить одну или несколько форм двусторонней двухфакторной аутентификации (2FA) к концу 2023 года, чтобы продолжать использовать платформу.
О новой политике было объявлено в блоге Майка Хэнли, директора по безопасности GitHub, который подчеркнул роль платформы, принадлежащей Microsoft, в защите целостности процесса разработки программного обеспечения от угроз, создаваемых злоумышленниками, которые получают контроль над учетными записями разработчиков.
Разумеется, учитывается и пользовательский опыт разработчика, и Майк Хэнли подчеркивает, что это требование вам не помешает:
«GitHub стремится к тому, чтобы надежная безопасность учетной записи не обеспечивалась за счет отличного опыта разработчиков, и наша цель на конец 2023 года дает нам возможность оптимизировать для этого. По мере развития стандартов мы продолжим активно изучать новые способы безопасной аутентификации пользователей, включая аутентификацию без пароля. Разработчики по всему миру могут рассчитывать на дополнительные возможности аутентификации и восстановления учетной записи, а также
Несмотря на то, что многофакторная аутентификация обеспечивает значительную дополнительную защиту для онлайн-аккаунтов, внутреннее исследование GitHub показывает, что только 16,5% активных пользователей (примерно каждый шестой) в настоящее время включают расширенные меры безопасности для своих учетных записей. Это удивительно низкий показатель, учитывая, что платформа, судя по ее пользовательской базе, должна быть осведомлена о рисках защиты только паролем.
Направляя этих пользователей к более высоким минимальным стандартам защиты учетных записей, GitHub надеется укрепить общую безопасность сообщества разработчиков программного обеспечения в целом.
«В ноябре 2021 года GitHub взял на себя новые инвестиции в безопасность учетных записей npm после приобретения пакетов npm в результате компрометации учетных записей разработчиков без включенной двухфакторной аутентификации. Мы продолжаем улучшать безопасность учетных записей npm, а также стремимся защищать учетные записи разработчиков через GitHub.
«Большинство нарушений безопасности не являются результатом экзотических атак нулевого дня, а связаны с недорогими атаками, такими как социальная инженерия, кража или утечка учетных данных, и другими способами, которые предоставляют злоумышленникам широкий спектр доступа к учетным записям жертв и ресурсам. они используют. иметь доступ к. Скомпрометированные учетные записи могут быть использованы для кражи личного кода или внесения злонамеренных изменений в этот код. Это раскрывает не только людей и организации, связанные со скомпрометированными учетными записями, но и всех пользователей уязвимого кода. В результате потенциал последующего воздействия на более широкую экосистему программного обеспечения и цепочку поставок является значительным.
Эксперимент, уже проведенный с небольшой частью пользователей платформы GitHub, создал прецедент для обязательного использования двухфакторной аутентификации (2FA) для еще меньшей группы пользователей платформы после тестирования с участием разработчиков популярных библиотек JavaScript, распространяемых с помощью системы управления пакетами npm.
Поскольку широко используемые пакеты npm можно загружать миллионы раз в неделю, они являются очень привлекательной мишенью для операторов вредоносных программ. В некоторых случаях хакеры скомпрометировали учетные записи участников npm и использовали их для выпуска обновлений программного обеспечения, которые были установлены похитителями паролей и криптомайнерами.
В ответ GitHub с февраля 100 года сделал двухфакторную аутентификацию обязательной для сопровождающих 2022 лучших пакетов npm. Компания планирует распространить те же требования на участников 500 лучших пакетов к концу мая.
В общих чертах это означает установление длительного срока для введения обязательной двухфакторной аутентификации на всем сайте и разработку различных процедур регистрации, чтобы подтолкнуть пользователей к ее внедрению задолго до крайнего срока в 2024 году, сказал Хэнли.
Защита программного обеспечения с открытым исходным кодом остается насущной проблемой для индустрии программного обеспечения, особенно после прошлогодней уязвимости log4j. Но в то время как новая политика GitHub смягчит некоторые угрозы, системные проблемы остаются: многие проекты программного обеспечения с открытым исходным кодом по-прежнему поддерживаются неоплачиваемыми добровольцами, и устранение дефицита финансирования рассматривается как серьезная проблема для технологической отрасли в целом.
Наконец, если вас интересует более подробная информация по этому вопросу , вы можете найти ее по следующей ссылке.