RubyGems verplicht multi-factor authenticatie voor populaire projecten

Gepubliceerd op: 19 Augustus 2022

Ruby-programmeertaalpakketbeheerder RubyGems heeft stappen ondernomen om multi-factor authenticatie (MFA) verplicht te stellen om de accounts van beheerders van populaire projecten (edelstenen) te beveiligen.

"Vandaag beginnen we MFA op te leggen aan eigenaren van edelstenen met meer dan 180 miljoen totale downloads", las Jenny Shen's aankondiging op de RubyGems-blog op maandag. "Gebruikers in deze categorie die MFA niet hebben ingeschakeld op de gebruikersinterface en API of gebruikersinterface en 'gem signin'-niveau, kunnen hun profiel op internet niet bewerken, bevoorrechte acties uitvoeren (d.w.z. pushen en rukken aan edelstenen, of toevoegen en verwijderen gem-eigenaren), of log in op de opdrachtregel totdat ze MFA configureren.

Hoewel dit nieuwe beleid voornamelijk van toepassing is op eigenaars van edelstenen met meer dan 180 miljoen downloads, zullen beheerders met tussen de 165 miljoen en 180 miljoen downloads ook aanbevelingen ontvangen via de opdrachtregelinterface (CLI) en gebruikersinterface (UI).

Deze beslissing kwam als een extra beveiligingsmaatregel tegen accountovernames, wat een van de meest voorkomende en gevaarlijke vormen van aanvallen op de toeleveringsketen van software is. Door een account over te nemen, vooral een zeer populaire, kunnen kwaadwillenden gemakkelijk malware verspreiden.

Phishing, social engineering, en onjuist inloggegevensbeheer (zwakke wachtwoorden, hetzelfde wachtwoord gebruiken voor meerdere accounts) zorgen ervoor dat aanvallen op accountovername kunnen plaatsvinden. Verplichte MFA kan daardoor een noodzakelijke extra beveiligingsmaatregel zijn tegen deze aanvallen.

"Dit beleid zou ons in overeenstemming brengen met het beleid van andere pakketecosystemen", zei Shen. “Daarnaast werken we momenteel ook aan het toevoegen van ondersteuning voor WebAuthn. Beheerders zouden hardwaretokens, biometrische sleutels en andere door WebAuthn ondersteunde apparaten kunnen gebruiken als hun multi-factor device naar keuze.”