RubyGems กำหนดให้มีการตรวจสอบสิทธิ์แบบหลายปัจจัยสำหรับโปรเจ็กต์ยอดนิยม

เผยแพร่เมื่อ: สิงหาคม 19, 2022

ตัวจัดการแพ็คเกจภาษาโปรแกรม Ruby RubyGems ได้ดำเนินการตามขั้นตอนเพื่อรับรองการพิสูจน์ตัวตนแบบหลายปัจจัย (MFA) เพื่อรักษาความปลอดภัยบัญชีของผู้ดูแลโครงการยอดนิยม (อัญมณี)

“วันนี้ เราจะเริ่มบังคับใช้ MFA กับเจ้าของอัญมณีด้วยยอดดาวน์โหลดรวมกว่า 180 ล้านครั้ง” Jenny Shen's กล่าว การประกาศ ในบล็อก RubyGems ในวันจันทร์ “ผู้ใช้ในหมวดหมู่นี้ที่ไม่ได้เปิดใช้งาน MFA บน UI และ API หรือ UI และระดับ 'การลงชื่อเข้าใช้อัญมณี' จะไม่สามารถแก้ไขโปรไฟล์ของพวกเขาบนเว็บ ดำเนินการพิเศษ (เช่น ผลักและดึงอัญมณี หรือเพิ่มและลบ เจ้าของอัญมณี) หรือลงชื่อเข้าใช้ในบรรทัดคำสั่งจนกว่าจะกำหนดค่า MFA”

แม้ว่านโยบายใหม่นี้จะใช้กับเจ้าของอัญมณีที่มีการดาวน์โหลดมากกว่า 180 ล้านครั้งเป็นหลัก แต่ผู้ดูแลที่มีการดาวน์โหลดระหว่าง 165 ล้านถึง 180 ล้านครั้งจะได้รับคำแนะนำผ่านอินเทอร์เฟซบรรทัดคำสั่ง (CLI) และอินเทอร์เฟซผู้ใช้ (UI)

การตัดสินใจครั้งนี้มาเป็นมาตรการรักษาความปลอดภัยเพิ่มเติมจากการเข้ายึดบัญชี ซึ่งเป็นหนึ่งในรูปแบบการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ที่พบได้บ่อยและอันตรายที่สุด การเข้าควบคุมบัญชี โดยเฉพาะอย่างยิ่งบัญชีที่ได้รับความนิยมสูง ช่วยให้ผู้คุกคามสามารถแจกจ่ายมัลแวร์ได้อย่างง่ายดาย

ฟิชชิ่ง, วิศวกรรมทางสังคมและการจัดการข้อมูลประจำตัวที่ไม่เหมาะสม (รหัสผ่านที่อ่อนแอ โดยใช้รหัสผ่านเดียวกันสำหรับหลายบัญชี) ทำให้เกิดการโจมตีเพื่อเข้าครอบครองบัญชีได้ MFA บังคับอาจเป็นมาตรการรักษาความปลอดภัยเพิ่มเติมที่จำเป็นต่อการโจมตีเหล่านี้ ด้วยเหตุนี้

“นโยบายนี้จะทำให้เราสอดคล้องกับนโยบายของระบบนิเวศแพ็คเกจอื่นๆ” เซินกล่าว “นอกจากนี้ เรากำลังดำเนินการเพิ่มการสนับสนุน WebAuthn ผู้ดูแลจะสามารถใช้โทเค็นของฮาร์ดแวร์ คีย์ไบโอเมตริกซ์ และอุปกรณ์อื่นๆ ที่รองรับ WebAuthn เป็นอุปกรณ์ที่มีหลายปัจจัยที่เลือกได้”