Linux Foundation styrker væggene omkring Linux-kernens kildekode Git repositories.
CHICAGO - For næsten tre år siden, kiks brød ind i kernel.org, Linuxs vigtigste side. Mens ingen skade skete, det var stadig bekymrende. Så ved Linux Kernel Summit, det Linux Foundation meddelt, at det var sikring af Linuxs Git-kildekodelagre med to-faktor-godkendelse.
Nogle Linux-kerneudviklere vil bruge YubiKeys til at sikre deres log-ins til Linux-masterkildekodelagrene.
Umiddelbart efter indbruddet i 2011 begyndte Linux Foundation at "pålægge en ret streng autentificeringspolitik for de udviklere, der forpligter sig direkte til git-lagrene, der huser Linux kerne. Hver får udstedt deres egen private ssh-nøgle, som derefter bliver den eneste måde for dem at skubbe kodeændringer til git-lagrene, der er hostet på kernel.org." Det er godt, men det er ikke nok.
Som Konstantin Ryabitsev, en senior system- og netværksadministrator hos The Linux Foundation, forklarede: "Selvom det er meget mere sikkert at bruge ssh-nøgler end blot adgangskoder, er der stadig en flere måder, hvorpå private ssh-nøgler kan falde i ondsindede hænder - for eksempel hvis udviklerens arbejdsstation er kompromitteret, eller hvis nogen formår at få adgang til nogle dårligt sikrede sikkerhedskopier.... Med det i tankerne, ønskede vi at skærpe vores adgangskrav yderligere, men uden at forårsage unødige vanskeligheder for kerneudviklerne."
Så fonden er gået videre til at bruge to-faktor-autentificering. I to-faktor-autentificering tilføjes et ekstra trin i stedet for blot at have et bruger-id og en adgangskode. Med Google og Twitter, for eksempel fungerer det ved at kræve både en adgangskode og indtaste en numerisk kode med sms til dit telefonnummer. Hvis en del ikke virker, kan du ikke komme ind på din konto.
Speciel funktion
IT-sikkerhed i Snowden-æraen
Edward Snowden-afsløringerne har rystet regeringer, globale virksomheder og teknologiverdenen. Når vi ser tilbage et årti fra nu, forventer vi, at dette bliver den største historie i 2013. Her er vores perspektiv på de implikationer, der stadig udspiller sig, sammen med bedste praksis for it-sikkerhed og risikostyring.
Læs nuFordi alt dette udføres af software (undtagen din telefon), kaldes dette "soft-token"-godkendelse. Hvis du skal bruge en faktisk fysisk genstand, som f.eks RSA SecurID nøglebrik eller a YubiKey, bruger du "hard-token"-godkendelse.
Til Linux Git, et distribueret revisionskontrol- og kildekodestyringssystem (SCM), giver Linux Foundation sine topudviklere valget mellem at bruge bløde eller hårde tokens. Sandt nok, som Ryabitsev observerede, er hårde tokens i sagens natur mere sikre, men selv et "blødt token er stadig dramatisk mere sikkert end ingen to-faktor autentificering overhovedet."
For at tilskynde til brugen af hårde tokens, "Yubico gik langt ud over en simpel rabat og tilbød at donere hundrede yubikeys til alle Linux-kerneudviklere, der i øjeblikket har konti på kernel.org."
Uanset hvad vil Linux-kildefilerne være beskyttet af Initiative For Open Authentication (OATH)'s HMAC-baserede Engangskodeordsalgoritme og Tidsbaseret engangskodeordsalgoritme (TOTP). Begge er Internet Engineering Task Force (IETF) sikkerhedsstandarder.
Programmører ønsker sandsynligvis ikke at indtaste adgangskoder og nye tilfældige sekscifrede koder, hver gang de logger ind. Derfor, forklarede Ryabitsev, har de indstillet deres version af Git-administrationsværktøjet, gitolit, så når en udvikler først er blevet tilladt ind i systemet, vil systemet give dem mulighed for at skrive til git ved at hvidliste deres brugernavn og aktuelle IP-adresse (Remote Internet Protocol).
Så, "Når dette er gjort, vil alle fremtidige git-operationer fra den IP-adresse for den pågældende bruger lykkes, indtil valideringen udløber efter 24 timer. Udviklere kan valgfrit validere deres IP-adresse i en længere periode - op til maks. 30 dage - hvilket er praktisk, hvis nogen for det meste arbejder fra samme sted."
Dette system er nu oppe og køre for både mainline og stabile Linux-kernelagre. På nuværende tidspunkt er to-faktor-godkendelse ikke obligatorisk. Til sidst bliver det.
Ved at foretage dette sikkerhedstræk følger Linux Foundation en voksende tendens, efterhånden som flere og flere populære websteder, som f.eks Facebook, Tumblr, og Evernote, er gået over til at bruge to-faktor-godkendelse til at blokere uvelkomne ubudne gæster.
Relaterede historier:
- Nyt to-faktor autentificeringsbibliotek viser os de mest sikre tjenester online
- Sådan bruger du Google to-faktor-godkendelse
- Tutorial: Twitter 2-faktor-godkendelse, trin-for-trin
- To-faktor autentificering på to år
- Storbritanniens sikkerhedsafdeling siger, at Ubuntu er det mest sikre slutbruger-OS