Chegou a hora: o GitHub expande o lançamento do requisito 2FA em 13 de março

A ferramenta de desenvolvimento de software GitHub exigirá mais contas para habilitar a autenticação de dois fatores (2FA) a partir de 13 de março. Esse mandato se estenderá a todos os desenvolvedores que contribuem com código no GitHub.com até o final de 2023.

O GitHub anunciou seu plano de lançar um requisito 2FA em uma postagem de blog em maio passado. Naquela época, o diretor de segurança da empresa disse que estava fazendo a mudança porque o GitHub (que é usado por milhões de desenvolvedores de software em todo o mundo em vários setores) é uma parte vital da cadeia de suprimentos de software. A referida cadeia de suprimentos foi sujeita a vários ataques nos últimos anos e meses, e o 2FA é uma forte defesa contra a engenharia social e outros métodos de ataque particularmente comuns.

Quando a postagem do blog foi escrita, o GitHub revelou que apenas cerca de 16,5% dos usuários ativos do GitHub usavam 2FA – muito menos do que você esperaria de tecnólogos que deveriam saber o valor disso.

Em dezembro, o GitHub apresentou os detalhes do plano que entrará em vigor para mais pessoas em alguns dias. A empresa identificará subconjuntos específicos de usuários necessários para entrar no movimento primeiro, como membros de empresas e organizações, usuários que contribuíram com código para repositórios críticos e assim por diante.

Esses usuários recebem lembretes periódicos dentro do produto e por e-mail 45 dias antes de o requisito entrar em vigor. A partir do primeiro login após o prazo de 2FA, eles recebem lembretes diários para habilitar o 2FA. Se eles ainda não o tiverem feito sete dias depois disso, não poderão acessar a maioria dos recursos do GitHub até que o façam. Vinte e oito dias depois disso, o GitHub iniciará um “check-up 2FA” para garantir que esteja funcionando corretamente e que o usuário ainda possa acessar sua conta.

Ao longo de 2023, mais e mais contas serão trazidas para esse processo, com todas as contas de desenvolvedores contribuintes incluídas até o final do ano, diz o GitHub.

Esta não é a introdução do 2FA para contas do GitHub. Os usuários há muito podem optar pelo 2FA para suas contas individuais, e as organizações empresariais podem exigir o 2FA de todos os membros por um tempo.

O GitHub também implementou gradualmente o requisito para tipos específicos de usuários nos últimos meses. Por exemplo, anunciou em dezembro que “os mantenedores de pacotes com mais de 1 milhão de downloads semanais ou mais de 500 dependentes” teriam que habilitar o 2FA. Antes disso, era necessário 2FA para contribuidores de bibliotecas JavaScript distribuídas via NPM.

Se você for um usuário do GitHub, terá que ficar atento a um e-mail ou notificação no aplicativo informando quando seu tíquete acabou.