Featured image of post 吉特霍向数百万用户推出两个要素认证

吉特霍向数百万用户推出两个要素认证

在未来9个月中,最大的软件开发和协作互联网托管服务将使所有代码提供人在其账户中增加另一层电子证据。

A mobile phone is sitting on a computer keyboard. On the screen is an image of the GitHub logo.

图像:Prima91 吉唐,大多数主要技术公司使用, 已宣布 它正在推出2个财务框架。 公司承认供应链安全风险不断上升,于3月13日星期一开始为期9个月的推出。 所有在平台上提供密码的开发商最终都必须通过安全议定书,该公司于星期四宣布。

SEE: 租用包裹:全身发展器 (技术共和国保费)

微软拥有的DevOps服务公司说,搬迁与移动一致。 国家网络安全战略 除其他外,这给软件供应商带来了责任和更多的安保责任。

Jump to:

  • 作为开发商
  • 不同的2个农业基金选择,但生物鉴别和骑师环联
  • 吉特霍马安全方案出现后,抗议活动
  • 长达数月的推出,以尽量减少干扰,优化议定书
  • 4. 吉特霍为开发商提供2个财务时间表
  • 电子邮件灵活性,避免锁闭 作为开发商

甚至开发商 错误 并且可能成为破坏安全行为的受害者。 Mike Hanley, Chief security Officer and Senior Vice President of Engineering at Git Hub, 2022年5月1日 第一次提到第二个财务框架计划,即破坏账户可用于盗窃私人代码或推动对该法典的恶意改动。

硬面读写面覆盖

  • 租用包裹:粉碎机

  • 如何找到和安装新的Windows 11 22H2更新

  • 学习两年的“DevGuides”在线网上研讨会,39美元

  • AWS re:Invent 2022: A. 技术工具、信条和趋势的分级参观

    他写道,“这不仅使与被损坏的账户有关联的个人和组织处于风险之中,而且使受影响代码的任何用户都处于风险之中”。 “因此,下游对更广泛的软件生态系统和供应链的影响潜力很大。 ……

  1. Justin Cappos, NYU的一位计算机科学教授,以及内到和Uptane软件安全框架的共同开发者,他说,Github的采用2FA是解决一个重大问题的关键的第一步。

“将守则编成一个组织,是人们所能做的最恶劣袭击之一。 因此,保护人们从事守则工作的方式,今天往往意味着通过Gite Hub从事守则工作,确实是关键。 他说,如果他们使袭击者更难这样做,那就是一个巨大的积极因素。”

SEE: 如何尽量减少安全风险: 3. 跟踪这些成功最佳做法 (技术共和国保费)

不同的2个农业基金选择,但生物鉴别和骑师环联

吉特·霍特也提议 优先选择2 假设账户的日志及时,允许用户选择基于时间的一次性密码、SMS、安全钥匙或Gite Hub Mobile。 然而,该公司是 促请用户 注意: 表2

NIST, 建议 2FA指出:

  • 攻击者可以接收通过SMS发送的带外秘密,该攻击者相信移动操作者将受害人的移动电话转给攻击者。
  • 对终点的恶意照相器可以读到通过SMS发出的带外秘密,攻击者可使用该秘密进行认证。 “最有力的方法是那些支持网络安全认证标准的方法”,Gite Hub在公告中说。 “这些方法包括实物安保钥匙以及支持Windows Hello 或Windows ID/Touch ID等技术的个人装置。 ……

Cappos说,区分2FA方法的重要性怎么强调都不为过。 “对2个财务框架来说,并非所有东西都是一样的。 例如,Yubikeys是黄金标准,因为你不得不偷走造成事情的钥匙。” 他说。

SEE: 1 序言正展望一个无密码的未来。 为什么 (技术共和国)

吉唐说,它也在测试之中。 骑手 接下来的代号成像议定书,是对像营养化这样的剥削的防御。

一名发言人说,“由于骑手仍然是一种更新的认证方法,我们正努力在内部测试这些钥匙,然后将这些钥匙推广到客户”。 “我们认为,它们把方便使用与有力和抗营养认证结合起来。 ……

吉特霍马安全方案出现后,抗议活动

在为打击威胁行为体而关闭漏洞的过程中,Gite Hub扩大了其范围。 秘密扫描 去年秋天的方案允许开发商跟踪其公共吉特·霍姆存放处的任何公开暴露秘密。

今年早些时候, 吉特霍启动了一套规范扫描办法 所谓的“过失装置”,使用户能够自动进行编码扫描。

“Our 2FA举措是全平台努力的一部分,目的是通过改善账户安全确保软件开发。” 该公司在一份公告中说,开发商账户是社会工程和账户接管目标。

长达数月的推出,以尽量减少干扰,优化议定书

传播新议定书的过程旨在尽量减少对用户的干扰,根据Gite Hub的说法,根据他们采取的行动或他们自己提出的守则挑选的群体。 (图A)

图A

A flowchart illustration of the software supply chain and important security steps.

图像:Gite Hub。 确保软件供应链始于用户账户。 该公司说,缓慢的推出也将使Gite Hub更容易作出必要调整,然后再在今年向较大和更大的群体推广。

吉特赫·霍恩的一名发言人解释说,虽然该公司没有就用户如何有资格成为《第二个全民教育》中某些群体的问题提出具体意见,但此人确实说,某些群体是根据其对安全的影响确定的。 更广泛的生态系统 。 高危人群包括:

  • 发表于Gite Hub 或OAuth apps, 行动或行动 一揽子计划
  • 创立 释放
  • 被认为具有关键意义的储存库的配制代码 npm , 开放式会社 , PyPI页: 1
  • 向大约400万公共和私营储存库中的任何一个提供编码。
  • 担任企业和组织管理人员。 对于那些有积极主动的护堤的人,该公司正在立即在一家专门公司提供2个保险基金。 地点
  1. 吉特霍为开发商提供2个财务时间表

吉唐捐助者进程设定了几个时间标码,在软限期内启动2个财务框架。 (图B)

图B

A color-coded timeline from GitHub that details when different groups will be required to meet different 2FA deadlines.

图像:Gite Hub。 吉特哈马捐助者2个财务框架的时间表。 ### 截止日期前

为待决的2个财务调查组选定的Gite Hub捐助者将在截止日期前45天通过电子邮件提前通知,告知截止日期,并就如何使2个财务调查成为可能提供指导。

授权期限过后

这些通知将立即发出,使2个财务机构能够每天第一次访问Gite Hub.com。 他们可以每天抽烟一次,时间长达一个星期,但此后,他们将无法进入Gite Hub.com,直到他们能够有2个FA。

在2个财务框架之后28天

用户在使用Gite Hub.com时将接受2AFA“检查”,这证实其2AFA的安装工作正确。 以前签字的用户如果在登机时有错误配置或错误的第二种因素或回收代码,将能够重新配置2FA。

电子邮件灵活性,避免锁闭

幸运的是,新议定书让用户使用 电子邮件 从2个AFA-endGite Hub账户中,避免将账户从单件——电子邮件——中分离出的矛盾现象,如果他们无法签署或收回账户,就可以核实账户。

“如果你无法找到SSH钥匙,PAT,或以前被签署为Gite Hub的一个装置来找回你的账户,那么该公司就很容易用新的Gite Hub.com账户开新鲜,并保持这一贡献的绿色。

image

 ###  《网络安全内外部通讯》

通过及时了解最新的网络安全新闻、解决办法和最佳做法,加强本组织信息技术安全防御。

星期二和星期四 今天签署