RubyGems nõuab populaarsete projektide jaoks mitmefaktorilist autentimist

Avaldatud: August 19, 2022

Ruby programmeerimiskeele paketihaldur RubyGems on astunud samme mitmefaktorilise autentimise (MFA) volitamiseks, et kaitsta populaarsete projektide (vääriskivide) haldajate kontosid.

"Täna hakkame jõustama makromajanduslikku finantsabi üle 180 miljoni allalaaditud kalliskivide omanikele," luges Jenny Shen. teadaanne RubyGemsi ajaveebis esmaspäeval. „Selle kategooria kasutajad, kellel pole MFA-d lubatud kasutajaliidese ja API või UI ja 'gem-logimise' tasemel, ei saa oma profiili veebis muuta, privilegeeritud toiminguid teha (st kalliskive lükata ja näppida ega lisada ja eemaldada kalliskiviomanikud) või logige sisse käsureal, kuni nad konfigureerivad MFA.

Kuigi see uus eeskiri kehtib peamiselt kalliskiviomanike kohta, kellel on rohkem kui 180 miljonit allalaadimist, saavad 165–180 miljoni allalaadimisega hooldajad soovitusi ka käsurea liidese (CLI) ja kasutajaliidese (UI) kaudu.

See otsus tuli täiendava turvameetmena konto ülevõtmise vastu, mis on üks levinumaid ja ohtlikumaid tarkvara tarneahela rünnakute vorme. Konto, eriti väga populaarse konto ülevõtmine võimaldab ohus osalejatel pahavara hõlpsalt levitada.

Phishing, sotsiaaltehnoloogia, ja vale mandaadihaldus (nõrgad paroolid, sama parooli kasutamine mitme konto jaoks) võimaldavad konto ülevõtmise rünnakuid. Seetõttu võib kohustuslik MFA olla vajalik lisaturvameede nende rünnakute vastu.

"See poliitika viiks meid kooskõlla teiste pakettökosüsteemide poliitikaga," ütles Shen. “Lisaks tegeleme praegu ka WebAuthni toe lisamisega. Hooldajad saaksid kasutada riistvaramärke, biomeetrilisi võtmeid ja muid WebAuthni toega seadmeid oma mitmefaktorilise seadmena.