GitHub 重磅宣布,在 2023 年之前,所有使用 GitHub 平臺存儲代碼、做貢獻的開發者都需要啟動一種或多種形式的雙因素身份驗證(2FA),否則將無法正常使用該平臺。

GitHub 在解釋時表示,大多數安全漏洞并非來自非常復雜的攻擊事件或是零日漏洞,相反,往往是一些低成本的攻擊,如社會工程、密碼泄露,以及其他為攻擊者提供訪問受害者賬戶的攻擊。被入侵的帳戶可用于竊取私有代碼或對代碼進行惡意更改,從而影響應用程序用戶。這對更廣泛的軟件生態系統和供應鏈的下游的影響是巨大的。

GitHub表示,軟件供應鏈的起點是開發者。開發者賬戶經常會成為社會工程和賬戶接管的目標,保護開發者免受這些類型的攻擊是保護供應鏈安全的第一步,也是最關鍵的一步。

據 GitHub 博客報道,2021 年 11 月,由于未啟用 2FA 的開發者賬戶遭到入侵,有不少 npm 包被接管。還有媒體報道,曾被黑客入侵的 Microsoft 賬戶中,有 99.9% 未啟用 2FA。

GitHub表示,防止低成本攻擊的最好方法是超越基于密碼的身份驗證。當前 GitHub 除了要求用戶名、密碼登錄之外,還要求基于電子郵件的設備驗證。如今,2FA 將是下一道防線。

雖然有很多場景已經驗證了 2FA 的有效性,但是 2FA 在整個軟件生態系統中的采用率仍然很低。據 GitHub 內部研究表明,目前有 16.5% 的開發者對自己的賬戶啟用了增強的安全措施,這一占比僅有六分之一。另外,也只有 6.44% 的 npm 用戶啟用了 2FA。

GitHub 最近在 iOS 和 Android 上為 GitHub Mobile 推出了 2FA。想要配置 GitHub Mobile 2FA 的開發者可以在2022 年 1 月的 GitHub 博客文章中了解如何進行。GitHub希望為安全身份驗證和帳戶恢復提供更多選項,降低從帳戶中泄露信息的安全。

據悉,雙重身份驗證的要求將影響 GitHub 平臺的 8300 萬用戶,但是GitHub表示,可以 “確保開發人員的用戶體驗”。

GitHub在 2 月將 NPM 注冊表中前 100 個軟件包的所有維護者注冊到強制 2FA,并在 3 月將所有 NPM 帳戶注冊到增強登錄驗證中。

該公司表示,前 500 個軟件包的所有維護者將于 5 月 31 日加入強制性 2FA。具有 500 多個受撫養人或每周下載量超過 100 萬個的高影響 NPM 軟件包的維護者將在今年第三季度加入 2FA。

標簽: GitHub