GitHub quiere intercambiar contraseñas tradicionales para autenticar tokens para transacciones de Git

La plataforma de alojamiento de código de Microsoft, GitHub, ha anunciado que quiere dejar de aceptar contraseñas para cuentas de GitHub como una forma de autenticar operaciones a través de Git. Las contraseñas serán reemplazadas por tokens de autenticación. El cambio se aplica solo al software Git y no interfiere con el inicio de sesión de GitHub. Este cambio entra en vigor después del 13 de agosto de 2021.

Según Matthew Langlois, ingeniero de seguridad de GitHub, la actualización sigue un plan de cambios de seguridad que comenzó en julio de este año. El mes pasado, todas las operaciones de API autenticadas por GitHub comenzaron a requerir un token de seguridad.

“A partir del 13 de agosto de 2021, ya no aceptaremos contraseñas de cuentas al autenticar las operaciones de Git y requeriremos el uso de autenticación basada en tokens, como un token de acceso personal (para desarrolladores) o un token de instalación de aplicaciones de OAuth o GitHub (para integradores) para todas las operaciones de Git autenticadas en GitHub.com. También puede seguir usando claves SSH donde prefiera ”, escribe Langlois en el blog de GitHub.

Para Langlois, los tokens son más seguros y confiables que las contraseñas tradicionales. “Los tokens ofrecen varios beneficios de seguridad sobre la autenticación basada en contraseñas”, dice.

Uno de los beneficios es que, en este caso, los tokens son específicos GitHub, que se puede generar por uso o por dispositivo. Los tokens también son revocables, es decir, se pueden revocar individualmente, en cualquier momento, “sin necesidad de actualizar las credenciales no afectadas”. Pero el principal beneficio es que los tokens son aleatorios.. “Los tokens no son vulnerables a los tipos de bancos de contraseñas o intentos de fuerza bruta que pueden ser las contraseñas tradicionales”, explica.

Obligar a los usuarios a usar tokens en lugar de contraseñas es visto como una ventaja por el ingeniero de seguridad de la plataforma, ya que los usuarios no elegirán contraseñas débiles como “Intel123” (créame … Intel ya ha utilizado esta contraseña).

Fuente: GitHub.