Aktuell | Security | c't | heise magazine

Zwei-Faktor-Pflicht bei GitHub

Die Microsoft-Tochter GitHub sagt ungeschützten Accounts den Kampf an: Ende 2023 soll Zwei-Faktor-Authentifizierung Pflicht sein, wenn man Code veröffentlicht.

GitHub bietet die ganze Palette an zweiten Faktoren von SMS über Webauthn bis TOTP. Ende 2023 müssen alle Nutzer Gebrauch davon machen.

Ende 2023 läuft die Zeit ab für Ein-Faktor-Kennwortanmeldungen bei GitHub: Dem Unternehmen sind Benutzer ein Dorn im Auge, die Code veröffentlichen und bisher keinen zweiten Faktor eingerichtet haben. „Die Software-Lieferkette beginnt beim Entwickler. Und Entwicklerkonten sind häufige Ziele für Social Engineering und Accountübernahmen“, schreibt GitHubs Chief Security Officer in seinem Blog. Optionen für den zweiten Faktor gibt es bei GitHub viele: TOTP, WebAuthn und SMS kann man einrichten. Für den Notfall gibt es Wiederherstellungscodes.

Bereits Ende 2021 hatte die von GitHub übernommene JavaScript-Paketregistry NPM den zweiten Faktor für die Maintainer großer Pakete erzwungen. Und schon 2020 hatte das Unternehmen die einfache Basic Authentication für sein API abgeklemmt. Seitdem braucht man für den Zugriff ein API-Token, das für einzelne Funktionen freigeschaltet ist. Die Zahlen zur Zwei-Faktor-Authentifizierung, die GitHub jetzt im Rahmen seiner Ankündigung veröffentlichte, sind einigermaßen beunruhigend: Nur 16,5 Prozent der aktiven Nutzer haben aktuell einen zweiten Faktor hinterlegt – bei den NPM-Nutzern nur 6,44 Prozent. (jam@ct.de)