«У GitHub ми вважаємо, що наше унікальне становище як дому для всіх розробників дає нам змогу й покладає на нас відповідальність підвищувати планку безпеки в екосистемі розробки програмного забезпечення», — написав Майк Генлі, директор із безпеки GitHub, у своєму блозі.

«Хоча ми значно інвестуємо в нашу платформу та ширшу галузь, щоб покращити загальну безпеку ланцюга постачання програмного забезпечення, користь від цих інвестицій принципово обмежена, якщо ми не усунемо постійний ризик компрометації облікових записів».

GitHub зобов’язався інвестувати в системи захисту облікових записів npm після того, як компрометація облікових записів без увімкненої 2FA призвела до захоплення пакетів.

Наразі менш ніж 20% користувачів GitHub і 6,44% користувачів npm використовують рекомендовані способи двофакторної автентифікації.

До попередніх заходів GitHub для захисту розробників належать пошук і анулювання відомих скомпрометованих паролів користувачів, надання надійної підтримки ключів безпеки WebAuthn і реєстрація всіх видавців npm у програмі розширеної перевірки входу.

У результаті зміни політики GitHub вимагатиме, щоб до кінця 2023 року в усіх облікових записах розробників було ввімкнено одну або кілька форм 2FA.

Ми попросили GitHub прокоментувати, чому було вирішено запровадити такий тривалий перехідний період, і ось відповідь:

«Хоча ми раді покращити впровадження 2FA, ми також розуміємо, що безпека, якою неможливо користуватися, не є справжньою безпекою. Якщо ви витратите час на створення простого й доступного досвіду для розробників, це допоможе нам успішно розгорнути зміни, а також зробити двофакторну автентифікацію звичною річчю, яку не сприйматимуть як незручність.

Ми віримо, що час та інвестиції дадуть змогу зробити цей процес ще приємнішим, щоб досягти нашої мети — покращити впровадження. Ми також досягли значного прогресу в поетапному впровадженні двофакторної автентифікації для npm. Це дало нам змогу переконатися, що ми рухаємося в правильному напрямку, зібрати відгуки клієнтів і за потреби адаптувати наш підхід».

Хоча приємно бачити, що GitHub визнає ризики, пов’язані зі скомпрометованими обліковими записами, багато хто й далі сумніватиметься, чи справді потрібна така тривала затримка із запровадженням політики з огляду на нинішні підвищені ризики.

Щораз більше сервісів уже вимагають 2FA, і ми впевнені, що GitHub і його користувачі зможуть зробити те саме до кінця цього року, щоб запобігти подальшим атакам зі скомпрометованих облікових записів.