На GitHub введена поддержка FIDO2 для Git-операций с использованием SSH

На GitHub введена поддержка FIDO2 для Git-операций с использованием SSH

На GitHub введена поддержка FIDO2 для Git-операций с использованием SSH

Операторы GitHub добавили возможность использования ключей безопасности стандарта FIDO2 при удаленном доступе к Git-репозиториям по SSH. Привязка криптоключей SSH к носимому устройству FIDO2 позволяет снизить риск утечки данных аутентификации и усилить, таким образом, защиту от угона аккаунта.

В настоящее время доступ к Git на GitHub.com возможен с помощью пароля к аккаунту, персонального токена или SSH-ключа. Однако платформа постепенно отходит от использования паролей, отдавая предпочтение более надежным способам аутентификации — 2FA, U2F (Universal Second Factor), WebAuthn. В конце прошлого года операторы веб-сервиса объявили, что с 13 августа 2021-го проведение Git-операций по паролю станет невозможным.

Использование FIDO2 предполагает создание пары дополнительных ключей безопасности; авторизация этой процедуры может потребовать прикосновения к FIDO-устройству. Генерация публичного и приватного ключей SSH по-прежнему необходима, но секретные биты теперь сохраняются в новом ключе безопасности, а открытая часть остается на машине пользователя — как обычный публичный ключ SSH.

Файл приватного ключа тоже присутствует на рабочем устройстве, но его содержимым является лишь отсылка к аппаратному аутентификатору. Без хранимого на нем ключа безопасности эта информация бесполезна.

Вредоносные программы тоже не смогут привнести нежелательные изменения в Git-репозиторий, так как любая удаленная операция потребует подтверждения — прикосновения к устройству-аутентификатору. В кеше клиента эти касания не сохраняются.

Нововведение позволяет также дополнительно усилить защиту — удалить все прежние SSH-ключи и пользоваться только теми, что созданы на базе новой системы аутентификации. Неиспользуемые ключи GitHub будет через год автоматически удалять, чтобы облегчить управление при использовании нескольких рабочих устройств или в случае потери одного из них.

PT Data Security 1.5 научилась искать уязвимости в базах данных

Компания Positive Technologies представила версию 1.5 платформы PT Data Security, предназначенной для инвентаризации, классификации и контроля безопасности данных. Главное нововведение релиза — появление инструментов для поиска известных уязвимостей, ошибок конфигурации и небезопасных настроек в хранилищах данных.

Платформа теперь может выявлять избыточные привилегии пользователей и другие факторы, которые потенциально повышают риск компрометации информации.

Разработчики отмечают, что это позволяет не только находить критически важные данные, но и оценивать уровень защищённости самих систем хранения. Например, специалисты по ИБ смогут быстрее определить, какие проблемы стоит устранять в первую очередь, если речь идёт о базах с персональными, финансовыми или другими чувствительными сведениями.

В новой версии также появилась поддержка СУБД Oracle. Для таких систем PT Data Security может проводить инвентаризацию данных, их классификацию и анализировать риски, связанные с расширенными правами доступа к критически важным таблицам. Поддержка Oracle может оказаться востребованной в крупных организациях, где эта СУБД по-прежнему широко используется.

Параллельно расширились возможности работы с PostgreSQL. Платформа получила функции анализа конфигурации и поиска слабых мест для версий PostgreSQL от 9.0 до актуальной ветки 18.

Среди других изменений — поддержка Astra Linux 1.8, которая активно используется в государственных структурах и крупных компаниях, а также обновлённая система настройки правил и политик безопасности. По словам разработчиков, она должна упростить адаптацию платформы под внутренние процессы и требования конкретной организации.

В Positive Technologies заявили, что версия 1.5 полностью соответствует плану развития продукта на первое полугодие 2026 года. Следующий этап развития платформы компания планирует формировать на основе запросов клиентов и тенденций рынка защиты данных.

RSS: Новости на портале Anti-Malware.ru