GitHub comienza a implementar 2FA para codificar colaboradores

GitHub tiene comenzó el lanzamiento oficial Autenticación de dos factores (2FA) para desarrolladores que contribuyen con código a la plataforma para mejorar la seguridad de la cuenta y la cadena de suministro de software. GitHub anunció por primera vez su intención de exigir 2FA para todos los contribuyentes del Código en mayo de 2022 y comienza a registrar el primer grupo el lunes 13 de marzo. GitHub permite a los usuarios elegir su método 2FA preferido: SMS, TOTP, clave de seguridad o GitHub Mobile. El lanzamiento tendrá lugar una semana después La Casa Blanca ha lanzado una ambiciosa estrategia nacional de ciberseguridad lo que asigna a los proveedores de software la responsabilidad de proteger el ecosistema de software.

Los desarrolladores y administradores de GitHub tienen 45 días para configurar 2FA para cuentas

GitHub se comunicará con grupos de desarrolladores y administradores que comenzarán el registro 2FA más adelante este año, y los primeros serán contactados la próxima semana. Los desarrolladores y administradores tienen 45 días para configurar 2FA en sus cuentas. Para garantizar una experiencia 2FA fluida, GitHub ofrece opciones de autenticación a los contribuyentes, según la plataforma de desarrollo. Éstas incluyen:

• Elección del método 2FA preferido: los usuarios pueden elegir entre TOTP, SMS, llaves de seguridad o GitHub Mobile como su método 2FA preferido.
• Validación del segundo factor después de la configuración de 2FA: esto ayuda a evitar la suspensión de la cuenta debido a aplicaciones de autenticación mal configuradas (aplicaciones TOTP).
• Registro del segundo factor: los desarrolladores y administradores pueden registrar una aplicación de autenticación (TOTP) y un número de SMS en su cuenta al mismo tiempo, lo que ayuda a reducir los bloqueos de cuenta al proporcionar otra opción 2FA accesible.
• Desvincular el correo electrónico en la prohibición de 2FA: los desarrolladores y administradores pueden desvincular su dirección de correo electrónico de una cuenta de GitHub habilitada para dos factores si no pueden iniciar sesión o recuperarse.

Proteger a los desarrolladores es clave para asegurar la cadena de suministro de software

en uno Blog publicado en mayo pasado, GitHub CSO Mike Hanley declaró que las cuentas de desarrollador son objetivos comunes para la ingeniería social y la adquisición de cuentas y, por lo tanto, proteger a los desarrolladores de los ataques es el primer paso y el más importante para asegurar la cadena de suministro de software. Todos los usuarios que aporten código en GitHub deben habilitar una o más formas de 2FA para fines de 2023, agregó.

El objetivo es ir más allá de la simple autenticación basada en contraseña para brindar protección mejorada con 2FA. “La mayoría de las brechas de seguridad no son el resultado de ataques exóticos de día cero, sino que involucran ataques de menor costo, como ingeniería social, robo o fuga de credenciales, y otras formas que permiten a los atacantes un amplio acceso a las cuentas de las víctimas y los recursos en ellas. Hanley escribió. “Las cuentas comprometidas se pueden usar para robar código privado o realizar cambios maliciosos en ese código. Esto no solo pone en riesgo a las personas y organizaciones asociadas con las cuentas comprometidas, sino también a todos los usuarios del código comprometido. Por lo tanto, el potencial de impactos posteriores en el ecosistema de software y la cadena de suministro más amplios es significativo”.

El analista sénior de CybelAngel, David Sygula, le dijo a CSO en mayo que si bien los planes de GitHub para implementar 2FA en su plataforma reducirán significativamente la probabilidad de apropiación de cuentas, eso no significa que los usuarios de GitHub dejarán de compartir secretos en su repositorio. “Uno de los problemas es que los repositorios se hacen públicos; No es necesario iniciar sesión, por lo que la autenticación multifactor no ayuda. Es una buena práctica, pero hará poco para asegurar la cadena de suministro».