GitHub terá autenticação em duas etapas obrigatória a partir de 2023

O GitHub anunciou nesta quarta-feira (4) seus planos de tornar a autenticação em duas etapas obrigatória para todos os usuários até o fim de 2023. O movimento segue uma série de mudanças de segurança que já vinham sendo aplicadas desde novembro do ano passado a administradores de repositórios e visa tornar a plataforma mais segura e protegida, principalmente, contra ataques que visem a cadeia de suprimentos.

• Chefe de segurança do Github discute open source para evitar nova falha Log4j
• Invasões a contas no GitHub pareciam preparação para golpe maior

O objetivo principal com a ativação da camada de segurança às contas dos usuários é garantir que os perfis não caiam em mãos erradas e sejam usados por criminosos para injetar códigos maliciosos em soluções legítimas de código aberto. Os desenvolvedores de aplicações são alvo frequente, aponta a Microsoft, dona do GitHub, e com isso, vem a necessidade de um maior inventário de soluções de proteção.

À medida em que aplica a obrigatoriedade da autenticação de duplo fator em ondas, o GitHub disse que vai introduzir também novas opções de verificação segura e recuperação de contas. Tais elementos, que não foram detalhados, se juntam ao suporte a mecanismos usuais da categoria, como o uso de aplicativos geradores de códigos e chaves físicas que trazem segurança extra aos perfis de maior criticidade.

Foi por eles, inclusive, que o serviço iniciou esse movimento, em novembro do ano passado. Em resposta a ataques envolvendo, principalmente, pacotes NPM, o GitHub tornou obrigatória a verificação em duas etapas para os administradores das 100 soluções mais populares do tipo. Em maio deste ano, será a vez das 500 maiores, enquanto todas com mais de 500 dependências ou um milhão de downloads por semana devem se juntar ao restante no terceiro trimestre.

A única exceção serão os usuários vinculados a contas corporativas. Nestes casos, o uso da autenticação em duas etapas, ainda que altamente recomendado, continuará opcional e deverá ser solicitado pelos administradores da organização. Aos contribuidores e desenvolvedores individuais, por outro lado, a medida será obrigatória, ainda que o fim dos logins inseguros não tenha data para acontecer.

Fonte: GitHub