Η RubyGems εξουσιοδοτεί τον έλεγχο ταυτότητας πολλαπλών παραγόντων για δημοφιλή έργα

Δημοσιεύθηκε στις: Αύγουστος 19, 2022

Ο διαχειριστής πακέτων γλωσσών προγραμματισμού Ruby RubyGems έχει λάβει μέτρα για να επιβάλει έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA) προκειμένου να διασφαλίσει τους λογαριασμούς των συντηρητών δημοφιλών έργων (gems).

«Σήμερα, θα αρχίσουμε να επιβάλλουμε MFA στους κατόχους πολύτιμων λίθων με πάνω από 180 εκατομμύρια συνολικές λήψεις», διάβασε η Jenny Shen ανακοίνωση στο ιστολόγιο RubyGems τη Δευτέρα. «Οι χρήστες αυτής της κατηγορίας που δεν έχουν ενεργοποιημένο το MFA σε επίπεδο διεπαφής χρήστη και API ή διεπαφή χρήστη και «σύνδεση στολίδι» δεν θα μπορούν να επεξεργαστούν το προφίλ τους στον ιστό, να εκτελούν προνομιακές ενέργειες (π.χ. ώθηση και εκτόξευση πολύτιμων λίθων ή προσθήκη και αφαίρεση ιδιοκτήτες πολύτιμων λίθων) ή συνδεθείτε στη γραμμή εντολών μέχρι να διαμορφώσουν το MFA.

Ενώ αυτή η νέα πολιτική ισχύει κυρίως για κατόχους πολύτιμων λίθων με περισσότερες από 180 εκατομμύρια λήψεις, οι συντηρητές με 165 εκατομμύρια έως 180 εκατομμύρια λήψεις θα λαμβάνουν επίσης συστάσεις μέσω της διεπαφής γραμμής εντολών (CLI) και της διεπαφής χρήστη (UI).

Αυτή η απόφαση ήρθε ως πρόσθετο μέτρο ασφαλείας κατά της εξαγοράς λογαριασμών, που είναι μια από τις πιο κοινές και επικίνδυνες μορφές επιθέσεων στην αλυσίδα εφοδιασμού λογισμικού. Η ανάληψη ενός λογαριασμού, ειδικά ενός πολύ δημοφιλούς, επιτρέπει στους φορείς απειλών να διανέμουν εύκολα κακόβουλο λογισμικό.

Phishing, κοινωνική μηχανική, και η ακατάλληλη διαχείριση διαπιστευτηρίων (αδύναμοι κωδικοί πρόσβασης, χρήση του ίδιου κωδικού πρόσβασης για πολλούς λογαριασμούς) επιτρέπουν την πραγματοποίηση επιθέσεων κατάληψης λογαριασμού. Ως αποτέλεσμα, η υποχρεωτική ΜΧΣ μπορεί να είναι ένα απαραίτητο πρόσθετο μέτρο ασφαλείας έναντι αυτών των επιθέσεων.

«Αυτή η πολιτική θα μας φέρει σε συμφωνία με τις πολιτικές που εφαρμόζονται από άλλα οικοσυστήματα πακέτων», δήλωσε ο Shen. «Επιπλέον, αυτή τη στιγμή εργαζόμαστε επίσης για την προσθήκη υποστήριξης για το WebAuthn. Οι συντηρητές θα μπορούν να χρησιμοποιούν διακριτικά υλικού, βιομετρικά κλειδιά και άλλες συσκευές που υποστηρίζονται από το WebAuthn ως συσκευή πολλαπλών παραγόντων της επιλογής τους».