GitHub、コード提供の全ユーザーに2要素認証（2FA）を義務付けへ 2023年末までに

同氏によると、現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ。傘下のnpmにいたっては、わずか6.44％のみという。 npmは2月、上位100のライブラリのメンテナに2FAを義務付けた。5月末までに上位500に拡大する計画だ。 関連記事 「ロシアをGitHubから切り離して」の意見に公式が返答 「私たちのビジョンは、全ての開発者のホームになること」 「GitHubからロシアを切り離して」──ロシアのウクライナ侵攻を受けて、このような件名の投稿がGitHub上に掲載された。さまざまな物議を醸したが、GitHubは「私たちのビジョンは、どこに住んでいても、全ての開発者のホームになることだ」と返答をした。 GitHub傘下のnpm、上位100のパッケージメンテナは2FA必須に GitHub傘下のパッケージリポジトリnpmは、上位100のライブラリのメンテナは2要素

[umisora2]

“現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ。傘下のnpmにいたっては、わずか6.44％のみという。” え？少なすぎて驚いた

[fn7]

CIでpushするケースにはどうすれば良いのかな。専用トークン？

[d6rkaiz]

herokuも必須になったし、この間の件の影響ですな。

[tmatsuu]

自分のGitHubアカウントは2FAを設定済だが、Authenticator App、Security Keys、GitHub Mobileの3つを有効にして紛失対策としてる。SMS numberは設定してないね。

[remonoil]

放置されてるアカウントどうすんだろ。OSSではなくMODとかグレーなツールとか

[shikiarai]

古に作って放置して存在を忘れてたまま新しいアカウントを作った関係でコードをアップロードしてないアカウントが2つくらいあるんだけど

[koogawa]

“現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ”

[diet55]

5/5「現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ。傘下のnpmにいたっては、わずか6.44％のみという。」

[side_tana]

そうだよなぁ……

[tattyu]

GitHub最近エンジニア以外にも触ってもらう必要があってこの辺りの複雑さマジで教えるのが大変。。。PATすぐ期限切れちゃうし。。

[asuka0801]

少なくとも業務で使ってるなら会社のコンプラ的に絶対2FA対応してるよなぁ。残りの8割くらいの人個人開発なんだろうか。

[sasasin_net]

ボットなGitHubアカウントを抱えてる方々が悲鳴を上げてそう

[poad1010]

この記事をおすすめしました:

[otchy210]

"現在GitHubで2FAを使っているのは全アクティブユーザーの約16.5％のみ" まじで？少な過ぎて驚く。マイノリティとは思わなかったな…。

[gfx]

“開発者アカウントはソーシャルエンジニアリングとアカウント乗っ取りのターゲットになりやすく、こうした攻撃から開発者を守ることは、サプライチェーン全体を保護するための最も重要なステップだ”

[ikeike443]

インテグレーションはgithub appでやるか、対応してないならPAT作るだけなので関係ないよ

[spark7]

アプリは嫌ね.. https://github.blog/2022-05-04-software-security-starts-with-the-developer-securing-developer-accounts-with-2fa/

[tomute]

有効にしてた。

[ghostbass]

既に実装済み/Microsoft Authenticator とか Authy とか使える/面倒なのはクライアントの認証でbasic認証が使えないのでPAT生成しなければならない事

[pmint]

もうなってた気がしたけど、メールを使うやつではないのか。iOSかAndroidが必須になるのはどうなの、っていうかGit部分ではなくコミュニティ活動のログインに限った話でしょ。

[toro-chan]

そもそもgithubが2FAを提供しているのをどこかで見たはずなのに忘れてた。。早速設定した。

[k2wanko]

弊社は去年の段階で必須化している。どこかでSSOの必須かもしたい

[nekoruri]

妥当。遅すぎたくらい。

[kaakaa_hoe]

いくらプラットフォーム側をセキュアにしても、個人開発者が攻撃されたら元も子もないので、MFA強制はサプライチェーン攻撃に対して優先順位高めでしょ

[xlc]

スマホを水没させたときにアクセスできなくなったので2FAには抵抗がある。更新自体はsshなのでsshでログインできないWebの仕組みがマズいのかね。

[aktkro]

「コード提供」って表現おかしい

[rkosaka]

GitHubに置けなくなったものは他のクラウドサービスに行くのかな。

[noritada]

マシンユーザの対応を考える必要がある。

[tettekete37564]

サプライチェーン攻撃に2FAはズレた対策だな。MS 側の意向かな？

[h3poteto]

botの二段階認証どうしようか……

[Helfard]

認証プログラムをオープンソースで作るところから始めようぜー！

[kenzy_n]

これが必須の時代が来ているのか。

[mominis]

YubiKeyめっちゃ売れそう。買いましょう