Door Anoniem: Als je devs buiten hun GitHub account sluit door 2FA af te dwingen, dan zullen ze zeker geen bugs pletten. Als een APT code in GitHub wil veranderen voor haar spionage doeleinden, dan zal het moeten aanmaken van een 2FA account ze niet tegenhouden. Github zegt dat je als maintainer van een veel gebruikte module een basisverantwoordelijkheid, laten we zeggen ,'sociale plicht' hebt om je account behoorlijk te beveiligen. Het threat model wat 2FA moet voorkomen is niet dat "APT actor maakt account aan" , maar "APT actor gebruikt compromised account van een trusted dev" . Iets wat over het algemeen makkelijker is wanneer er slechts een password gebruikt wordt - zeker omdat je moet vrezen dat het niet gebruiken van 2FA door de dev geen overwogen keuze is die gecompenseerd is door een ultra lang single use password, maar gevolg van een mindset "geen zin in gedoe gewoon een password dat ik ff intik" . Twee keer faal dus van GitHub. Dit gaat niets oplossen. Ik neem aan dat de meest devs op ...