RubyGems вводит многофакторную аутентификацию для популярных проектов

Опубликовано: 19 августа 2022

Менеджер пакетов языка программирования Ruby RubyGems предпринял шаги, чтобы обязать многофакторную аутентификацию (MFA) для защиты учетных записей сопровождающих популярных проектов (gems).

«Сегодня мы начнем применять MFA к владельцам драгоценных камней с общим количеством загрузок более 180 миллионов», — говорится в сообщении Дженни Шен. объявление в блоге RubyGems в понедельник. «Пользователи этой категории, у которых не включена функция многофакторной идентификации в пользовательском интерфейсе и API или пользовательском интерфейсе и на уровне входа в драгоценный камень, не смогут редактировать свой профиль в Интернете, выполнять привилегированные действия (например, отправлять и дергать драгоценные камни или добавлять и удалять владельцев драгоценных камней) или войдите в командную строку, пока они не настроят MFA».

Хотя эта новая политика в основном применяется к владельцам драгоценных камней с более чем 180 миллионами загрузок, сопровождающие с от 165 до 180 миллионов загрузок также будут получать рекомендации через интерфейс командной строки (CLI) и пользовательский интерфейс (UI).

Это решение было принято в качестве дополнительной меры безопасности против захвата учетных записей, что является одной из наиболее распространенных и опасных форм атак на цепочку поставок программного обеспечения. Взлом учетной записи, особенно очень популярной, позволяет злоумышленникам легко распространять вредоносное ПО.

Фишинг, социальная инженерияи неправильное управление учетными данными (ненадежные пароли, использование одного и того же пароля для нескольких учетных записей) допускают атаки с захватом учетных записей. В результате обязательная MFA может оказаться необходимой дополнительной мерой защиты от этих атак.

«Эта политика привела бы нас в соответствие с политиками других пакетных экосистем», — сказал Шен. «Кроме того, в настоящее время мы также работаем над добавлением поддержки WebAuthn. Сопровождающие смогут использовать аппаратные токены, биометрические ключи и другие устройства с поддержкой WebAuthn в качестве своего многофакторного устройства».