GitHub verplicht 2FA voor beheerders honderd populairste npm-packages
GitHub gaat alle beheerders van belangrijke en populaire npm-packages verplichten om in te loggen door middel van tweefactorauthenticatie (2FA) en voor de honderd populairste npm-packages is dit inmiddels het geval. Met de maatregel wil GitHub, dat eigenaar van npm is, de veiligheid van de npm registry vergroten.
Npm is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via het npm registry biedt het een groot archief met openbare, besloten en commerciële packages. De afgelopen jaren verschenen geregeld malafide npm-packages in de registry. In 2020 bleek dat meer dan negentig procent van npm-ontwikkelaars geen 2FA gebruikte om het eigen account te beveiligen.
Om alle "high-impact" npm-packages te beschermen moeten de maintainers en uitgevers van deze packages via 2FA gaan inloggen. Voor de Top 100-packages is dat inmiddels gedaan. Van maintainers die op dit moment geen 2FA gebruiken is de websessie ingetrokken. Ze zullen eerst 2FA moeten instellen voordat ze bepaalde acties met hun account kunnen uitvoeren, zoals het wijzigen van e-mailadressen en toevoegen van nieuwe maintainers. Voor alle andere high-impact packages zal de 2FA-verplichting vanaf 1 maart gaan gelden.
Als een APT code in GitHub wil veranderen voor haar spionage doeleinden, dan zal het moeten aanmaken van een 2FA account ze niet tegenhouden.
Twee keer faal dus van GitHub. Dit gaat niets oplossen. Ik neem aan dat de meest devs op GitHub hier niet voor betaald krijgen. Een deel (90%?) zal zeggen: zoek het maar uit.
Als een APT code in GitHub wil veranderen voor haar spionage doeleinden, dan zal het moeten aanmaken van een 2FA account ze niet tegenhouden.
Github zegt dat je als maintainer van een veel gebruikte module een basisverantwoordelijkheid, laten we zeggen ,'sociale plicht' hebt om je account behoorlijk te beveiligen.
Het threat model wat 2FA moet voorkomen is niet dat "APT actor maakt account aan" , maar "APT actor gebruikt compromised account van een trusted dev" .
Iets wat over het algemeen makkelijker is wanneer er slechts een password gebruikt wordt - zeker omdat je moet vrezen dat het niet gebruiken van 2FA door de dev geen overwogen keuze is die gecompenseerd is door een ultra lang single use password, maar gevolg van een mindset "geen zin in gedoe gewoon een password dat ik ff intik" .
Twee keer faal dus van GitHub. Dit gaat niets oplossen. Ik neem aan dat de meest devs op GitHub hier niet voor betaald krijgen. Een deel (90%?) zal zeggen: zoek het maar uit.
Zie boven, die faal heb je niet zo erg aangetoond.
Ik snap niet zo goed waarom je vindt dat ontwikkelaars van veel gebruikte modules prima met een slecht beveiligd account
moeten kunnen werken .
moeten kunnen werken .
GitHub vergeet wie al het programmeerwerk doet. En 2FA is geen panacee. Zoals je zegt is een ultra lang uniek wachtwoord ook heel goed. Vooral als je die op de juiste site gebruikt en met een veilige machine waar vanaf je werkt.
moeten kunnen werken .
GitHub vergeet wie al het programmeerwerk doet. En 2FA is geen panacee. Zoals je zegt is een ultra lang uniek wachtwoord ook heel goed. Vooral als je die op de juiste site gebruikt en met een veilige machine waar vanaf je werkt.
panacee's bestaan op geen enkel vlak. Het niet bestaan ervan is geen reden om een dingen die wel beter kunnen ook beter te doen.
Bot gezegd : jammer voor die paar devs die wel heel secure werken met alleen een password .
Degenen die er met de pet naar gooien met hun hallo123 password - verdienen niet het vertrouwen dat ze hebben als dev van een top-100 package.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
