GitHub 重磅宣布，在 2023 年之前，所有使用 GitHub 平臺存儲代碼、做貢獻的開發者都需要啟動一種或多種形式的雙因素身份驗證（2FA），否則將無法正常使用該平臺。

GitHub 在解釋時表示，大多數安全漏洞并非來自非常復雜的攻擊事件或是零日漏洞，相反，往往是一些低成本的攻擊，如社會工程、密碼泄露，以及其他為攻擊者提供訪問受害者賬戶的攻擊。被入侵的帳戶可用于竊取私有代碼或對代碼進行惡意更改，從而影響應用程序用戶。這對更廣泛的軟件生態系統和供應鏈的下游的影響是巨大的。

GitHub表示，軟件供應鏈的起點是開發者。開發者賬戶經常會成為社會工程和賬戶接管的目標，保護開發者免受這些類型的攻擊是保護供應鏈安全的第一步，也是最關鍵的一步。

據 GitHub 博客報道，2021 年 11 月，由于未啟用 2FA 的開發者賬戶遭到入侵，有不少 npm 包被接管。還有媒體報道，曾被黑客入侵的 Microsoft 賬戶中，有 99.9% 未啟用 2FA。

GitHub表示，防止低成本攻擊的最好方法是超越基于密碼的身份驗證。當前 GitHub 除了要求用戶名、密碼登錄之外，還要求基于電子郵件的設備驗證。如今，2FA 將是下一道防線。

雖然有很多場景已經驗證了 2FA 的有效性，但是 2FA 在整個軟件生態系統中的采用率仍然很低。據 GitHub 內部研究表明，目前有 16.5% 的開發者對自己的賬戶啟用了增強的安全措施，這一占比僅有六分之一。另外，也只有 6.44% 的 npm 用戶啟用了 2FA。

GitHub 最近在 iOS 和 Android 上為 GitHub Mobile 推出了 2FA。想要配置 GitHub Mobile 2FA 的開發者可以在2022 年 1 月的 GitHub 博客文章中了解如何進行。GitHub希望為安全身份驗證和帳戶恢復提供更多選項，降低從帳戶中泄露信息的安全。

據悉，雙重身份驗證的要求將影響 GitHub 平臺的 8300 萬用戶，但是GitHub表示，可以 “確保開發人員的用戶體驗”。

GitHub在 2 月將 NPM 注冊表中前 100 個軟件包的所有維護者注冊到強制 2FA，并在 3 月將所有 NPM 帳戶注冊到增強登錄驗證中。

該公司表示，前 500 個軟件包的所有維護者將于 5 月 31 日加入強制性 2FA。具有 500 多個受撫養人或每周下載量超過 100 萬個的高影響 NPM 軟件包的維護者將在今年第三季度加入 2FA。