GitHub reforça a segurança com autenticação de dois fatores (2FA) para desenvolvedores

Segurança de milhões de desenvolvedores através do 2FA

Embora a tecnologia tenha avançado significativamente para combater a proliferação de ameaças de segurança sofisticadas, a realidade é que prevenir o próximo ciberataque depende de acertar os fundamentos da segurança. Os esforços para proteger o ecossistema de software devem focar nos desenvolvedores que projetam, constroem e mantêm o software em que todos nós confiamos. Como lar da maior comunidade de desenvolvedores do mundo, o GitHub está em uma posição única para melhorar a segurança da cadeia de suprimentos de software.

Em maio de 2022, introduzimos uma iniciativa para elevar o padrão de segurança da cadeia de suprimentos, começando pelo primeiro elo dessa cadeia: a segurança dos desenvolvedores. Porque a autenticação multifator forte continua sendo uma das melhores defesas contra a invasão de contas e subsequente comprometimento da cadeia de suprimentos, estabelecemos uma meta ambiciosa: até o final de 2023, exigir que os usuários que contribuem com código no GitHub.com habilitem uma ou mais formas de autenticação de dois fatores (2FA).

O que se seguiu foi um ano de investimentos em pesquisa e design para implementar esses requisitos, otimizando a experiência para os desenvolvedores. Gradualmente, implementamos essas mudanças para garantir que os usuários fossem bem-sucedidos ao adotar o 2FA à medida que continuávamos a expandir nossos requisitos. Embora nossos esforços para tornar os desenvolvedores o mais seguros possível no GitHub.com não terminem aqui, hoje compartilhamos os resultados da primeira fase de nossa inscrição no 2FA e incentivamos outras organizações a implementarem requisitos semelhantes em suas próprias plataformas.

Resultados

Estamos orgulhosos das conquistas iniciais da iniciativa de 2023 e do impacto que terão na segurança do ecossistema de software:

1. Aumento dramático na adoção do 2FA no GitHub.com, com foco nos usuários que têm o maior impacto na cadeia de suprimentos de software.
2. Usuários adotando métodos mais seguros de 2FA, incluindo passkeys.
3. Redução líquida no volume de tickets de suporte relacionados ao 2FA, resultado de pesquisas e design aprofundados e melhorias nos processos de suporte ao cliente.
4. Outras organizações, como RubyGems, PyPI e AWS, se uniram a nós para elevar o padrão para toda a cadeia de suprimentos de software, provando que aumentos significativos na adoção do 2FA não são um desafio insuperável.

Desde que começamos a implementar o 2FA obrigatório em março de 2023, vimos uma taxa de adesão de quase 95% entre os contribuidores de código que receberam o requisito de 2FA em 2023. Isso resultou em um aumento de 54% na adoção do 2FA entre todos os contribuidores ativos no GitHub.com. Além disso, incentivamos os usuários a adotarem métodos mais seguros de 2FA, especialmente as passkeys, que oferecem a melhor combinação de segurança e usabilidade.

Olhando para o Futuro

A indústria ainda tem um trabalho importante a fazer para apoiar os usuários que podem não ter acesso a um celular ou controle sobre o software do computador que usam para adotar o 2FA. Como uma plataforma global, acreditamos que todos devem ter acesso a ferramentas que tornem o desenvolvimento de software mais fácil e seguro. Nosso objetivo é encontrar soluções para proteger os desenvolvedores, os projetos em que trabalham e as comunidades em que participam, sem restringir aqueles com configurações ou ambientes diferentes ao redor do mundo.

Os próximos passos da plataforma incluem avaliar como exigir que ainda mais usuários do GitHub.com se inscrevam no 2FA durante 2024, enquanto continuamos a monitorar e melhorar a experiência do usuário. Também estamos estudando recursos adicionais de segurança de conta, como sessões e vinculação de tokens, para ajudar desenvolvedores e suas organizações