GitHub c 13 марта 2023 года начнёт требовать от разработчиков подключить двухфакторную аутентификацию Статьи редакции
Если не успеть в срок, доступ к аккаунту ограничат.
- С 13 марта 2023 года GitHub начнёт уведомлять «группы разработчиков и администраторов» о необходимости добавить двухфакторную аутентификацию (2FA). Сперва небольшие, а потом и крупные сообщества получат электронное письмо или увидят соответствующий баннер на сайте.
- После первого уведомления пользователи получат 45 дней на настройку и в течение этого времени будут получать регулярные напоминания. Если разработчик не хочет ждать своей очереди, он может подключить 2FA уже сейчас — с помощью инструкции.
- Способов дополнительной аутентификации несколько — это SMS, ключи безопасности, вход через приложение GitHub Mobile и TOTP (генерация одноразовых кодов). Но компания предупреждает, что SMS считается не самым надёжным вариантом, и советует вместе с ним подключать TOTP.
- В течение 28 дней после подключения GitHub попросит проверить работу 2FA, а в случае ошибки предложит сбросить настройки, не отключая доступ к аккаунту.
- Разработчики, которые не успеют в срок, получат дополнительную неделю на настройку начиная с первого после истечения 45 дней входа в систему. Напоминания будут приходить на протяжении всех семи дней. Если пользователь всё равно не подключит 2FA, ему ограничат доступ к аккаунту.
- О планах обеспечить переход всех пользователей на 2FA до конца 2023 года GitHub объявил в мае 2022-го.
6.6K
показов
6.6K
открытий
Подскажите мне такой способ 2FA, который одновременно удовлетворяет следующим условиям:
а) широко поддерживается различными сервисами;
б) потеря которого не приводит к невозможности или запредельной геморройности восстановления доступа;
в) не является СМС.
Вопрос не риторический — я правда не в курсе, но с подозрением отношусь к альтернативным способам 2FA из-за опасений, которые изложил выше.
Bitwarden за 10 долларов в год.
Вроде как в принципе все плюс минус уважаемые менеджеры паролей имеют подобную функцию, но я не уверен.
Кстати майкрософт аутификатор вроде как тоже может синхронизироваться при переносе на устройство другое.
Погодите, это просто менеджер паролей? Я-то говорю именно про второй фактор 2FA — в контексте того, что все больше компаний начинает требовать использования 2FA, настоятельно рекомендуя при этом вместо СМС выбирать что-то другое.
кстати, как вариант, вы можете копировать свои коды на другое устройство.
Например на смартфон жены, или на планшет свой(который вероятно будет валятся дома).
Можно ещё физический qr из металла сделать.
Платный битварден умеет и хранить пароли, и TOTP
Если лень платный битварден - тогда бесплатный + Authy
это менеджер паролей с функцией генерации кодов.
Так вот меня интересует именно *интеграция в качестве второго фактора 2FA* со сторонними сервисами.
а в чем проблема использовать его как и одно и второе?или просто как генератор кодов?
Проблема следующая. Допустим, есть конкретный сервис Foo. В один прекрасный день он мне говорит: "C этих пор вы обязаны использовать 2FA. В качестве второго фактора *мы поддерживаем* СМС, а также популярные способы Bar и Baz, и больше ничего, но СМС не рекомендуем и скоро запретим использовать". Вопрос: если я утеряю 2-й фактор в виде Bar или Baz, насколько геморройно мне будет восстанавливать доступ по сравнению с СМС и стоит ли овчинка выделки, хотя бы пока СМС еще поддерживается?
(В моей модели угроз вероятность утери второго фактора выше, чем вероятность взлома через СМС.)
Выбирайте SSH ключи если есть такая возможность
менеджеры паролей поддерживают самые популярные стандарты 2fa.
Тот же битварден, если вы вдруг потеряете все, будет на сервере в зашифрованом виде продолжит генерировать коды.
Попробую в последний раз пояснить. Я не имею в виду случаи, когда могу сам себе организовать 2FA, независимо от сервиса, которым пользуюсь. Я говорю о случаях, когда сам сервис ОБЯЗЫВАЕТ использовать те или иные виды 2FA — например, либо СМС, либо Google Authenticator, и больше ничего.
ну вы все еще можете использовать резервные способы. Через почту, смс.
Если хочется очень безопасно, сейчас есть возможность создавать резервные коды. Распечатайте такой, заламинируйте. и положите в полочку с документами.
GA заменяется любым другим аутентификатором, они все совместимы
Мало того, они все лучше чем сам GA (он не умеет работать с разными девайсами, только с одним; по крайней мере не умел до последнего времени)