GitHub lanza nuevos mandatos 2FA para desarrolladores de código y colaboradores

GitHub está introduciendo nuevas reglas que rodean a los desarrolladores y la seguridad de autenticación de dos factores (2FA). El miércoles, el repositorio de códigos propiedad de Microsoft dijo que se realizarán cambios en las reglas de autenticación existentes como "parte de un esfuerzo de toda la plataforma para proteger el ecosistema de software mediante la mejora de la seguridad de la cuenta". Según Mike Hanley, director de seguridad (CSO) de GitHub, GitHub requerirá que cualquier desarrollador contribuya con código a la plataforma para habilitar al menos una forma de 2FA para fines de 2023.
Los proyectos de código abierto son recursos valiosos populares y ampliamente utilizados tanto para las personas como para las empresas. Sin embargo, si un actor de amenazas compromete la cuenta de un desarrollador, esto podría provocar repositorios secuestrados, robo de datos e interrupción del proyecto. El proveedor de la plataforma en la nube Heroku, propiedad de Salesforce, reveló un incidente de seguridad en abril.
Un subconjunto de sus repositorios privados de git se vio comprometido luego del robo de tokens de OAuth, lo que podría generar un acceso no autorizado a los repositorios de los clientes. GitHub dice que la cadena de suministro de software "comienza con el desarrollador" y ha estado reforzando sus controles con esto en mente, señalando que las cuentas de los desarrolladores son "objetivos frecuentes para la ingeniería social y la adquisición de cuentas". Recientemente, el problema de la carga de paquetes maliciosos en el registro npm de GitHub también ha puesto de relieve la seguridad de la cadena de suministro de software.
En muchos casos, no es una vulnerabilidad de día cero lo que causa el colapso de los proyectos de código abierto o les da noches de insomnio a los desarrolladores. En cambio, son las debilidades fundamentales, como credenciales de contraseña débiles o información robada, las que explotan los atacantes cibernéticos. Sin embargo, el repositorio de código también ha reconocido que puede haber una compensación entre la seguridad y la experiencia del usuario.
Por lo tanto, la fecha límite de 2023 también le dará a la organización el tiempo para "optimizar" el dominio de GitHub antes de que se establezcan las reglas. Roca. "Los desarrolladores de todo el mundo pueden esperar más opciones para la autenticación segura y la recuperación de la cuenta, junto con mejoras que ayudan a prevenir y recuperarse del compromiso de la cuenta", comentó Hanley. Para GitHub, la implementación de 2FA puede convertirse en un problema apremiante, ya que solo el 16,
5 % de los usuarios activos de GitHub y el 6,44 % de los usuarios de npm adoptan al menos una forma de 2FA. GitHub ya depreció la autenticación básica, usando solo nombres de usuario y contraseñas, a favor de integrar OAuth o tokens de acceso.
La organización también introdujo la verificación de dispositivos basada en correo electrónico cuando 2FA no se ha habilitado. El plan actual es continuar con la implementación obligatoria de 2FA en npm, pasando de los 100 paquetes principales a los 500, y luego a aquellos con más de 500 dependientes o un millón de descargas semanales. Las lecciones aprendidas de este banco de pruebas se aplicarán luego a GitHub.
“Si bien estamos invirtiendo profundamente en nuestra plataforma y en la industria en general para mejorar la seguridad general de la cadena de suministro de software, el valor de esa inversión es fundamentalmente limitado si no abordamos el riesgo continuo de compromiso de la cuenta”, dijo Hanley. "Nuestra respuesta a este desafío continúa hoy con nuestro compromiso de impulsar una mejor seguridad en la cadena de suministro a través de prácticas seguras para desarrolladores individuales". En abril, GitHub presentó una nueva función de escaneo para proteger a los desarrolladores y evitar que filtren secretos accidentalmente.
La función de usuario empresarial es una verificación opcional para que los desarrolladores la habiliten durante los flujos de trabajo y antes de que se inicie un git push. ¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o en Keybase: charlie0.