GitHub 将要求所有开发者在 2 年底前注册 2023FA

为了进一步保护托管在其平台上的开发人员帐户和代码，GitHub 宣布其用户将需要在明年年底之前注册两因素身份验证 (2FA)。

更具体地说，任何在 Microsoft 拥有的平台上贡献代码的人都需要启用一种或多种形式的 2FA。

根据新的博客文章 GitHub 的首席安全官 Mike Hanley 表示，软件供应链始于开发人员，开发人员帐户经常成为社会工程和帐户接管的目标。通过保护开发人员免受此类攻击，该公司正朝着保护软件供应链迈出第一步，也是最关键的一步。

展望未来，GitHub 计划探索安全验证用户身份的新方法，包括无密码身份验证。事实上，就在去年，该公司增加了使用安全密钥进行身份验证的能力，作为其迈向无密码未来努力的一部分。

保护软件供应链

早在去年 2 月，GitHub 就承诺在 npm 包接管后对 npm 帐户安全进行新的投资，这是由于未启用 XNUMXFA 的开发人员帐户受到损害的结果。

尽管零日漏洞在网上引起了很多关注，但社会工程、凭证盗窃或数据泄露等低成本攻击实际上是大多数安全漏洞的原因。

GitHub 上的被盗帐户可用于窃取私有代码，甚至可以将恶意更改推送到该代码。不幸的是，不仅与这些被盗帐户相关的个人及其组织面临风险，受影响代码的任何用户也面临风险。

对受损用户帐户的最佳防御是超越基本的基于密码的身份验证。然而，今天只有 16.5% 的活跃 GitHub 用户和 6.44% 的 npm 用户使用一种或多种形式的 2FA。

GitHub 用户有足够的时间为这一变化做准备，该公司最近在 iOS 和 Android 上为 GitHub 移动版推出了 2FA。有兴趣了解如何配置 GitHub Mobile 2FA 的人可以查看此支持文档以开始使用。