RubyGems impune autentificarea cu mai mulți factori pentru proiectele populare

Publicat în data de: August 19, 2022

Managerul de pachete în limbajul de programare Ruby RubyGems a luat măsuri pentru a impune autentificarea multi-factor (MFA) pentru a securiza conturile întreținătorilor de proiecte populare (gems).

„Astăzi, vom începe să aplicăm MFA pentru proprietarii de pietre prețioase cu peste 180 de milioane de descărcări totale”, a citit Jenny Shen anunț pe blogul RubyGems luni. „Utilizatorii din această categorie care nu au MFA activat la nivelul interfeței de utilizare și API sau UI și „conectare cu geme” nu vor putea să-și editeze profilul pe web, să efectueze acțiuni privilegiate (adică să împingă și să smulgă pietre prețioase sau să adauge și să elimine proprietarii de pietre prețioase), sau conectați-vă pe linia de comandă până când configurează MFA.”

În timp ce această nouă politică se aplică în principal proprietarilor de pietre prețioase cu peste 180 de milioane de descărcări, întreținerii cu între 165 de milioane și 180 de milioane de descărcări vor primi, de asemenea, recomandări prin interfața de linie de comandă (CLI) și interfața cu utilizatorul (UI).

Această decizie a venit ca o măsură suplimentară de securitate împotriva preluării conturilor, care este una dintre cele mai comune și periculoase forme de atacuri la lanțul de aprovizionare cu software. Preluarea unui cont, în special a unuia foarte popular, permite actorilor amenințărilor să distribuie cu ușurință malware.

Phishing, Inginerie sociala, și gestionarea necorespunzătoare a acreditărilor (parole slabe, folosind aceeași parolă pentru mai multe conturi) permit atacurile de preluare a contului. Ca rezultat, MFA obligatorie ar putea fi o măsură suplimentară de securitate necesară împotriva acestor atacuri.

„Această politică ne-ar aduce în conformitate cu politicile făcute de alte ecosisteme de pachete”, a spus Shen. „În plus, lucrăm în prezent la adăugarea suportului pentru WebAuthn. Operatorii de întreținere ar putea folosi token-uri hardware, chei biometrice și alte dispozitive acceptate de WebAuthn ca dispozitiv multi-factor ales.”