GitHub bổ sung khả năng hỗ trợ khóa bảo mật khi sử dụng Git qua SSH

GitHub vừa chính thức bổ sung hỗ trợ bảo mật nâng cao các hoạt động SSH Git bằng cách sử dụng khóa bảo mật FIDO2, qua đó tăng cường khả năng bảo vệ trước các nỗ lực chiếm đoạt tài khoản người dùng đang có xu hướng này càng trở nên tinh vi, phức tạp hơn.

Trước đó, các nhà nghiên cứu tại Đại học Bang North Carolina (NCSU) đã từng phát hiện có tới hơn 100.000 kho lưu trữ GitHub (repository) bị rò rỉ mã thông báo API và các khóa mật mã (SSH và TLS). Đang chú ý, kết quả này được đưa ra sau khi các nhà nghiên cứu mới chỉ tiến hành quét khoảng 13% kho lưu trữ công khai của GitHub trong gần 6 tháng.

Tệ hơn, họ còn phát hiện ra rằng hàng nghìn kho lưu trữ mới cũng đang bị rò rỉ mỗi ngày một cách âm thầm.

Với tính năng mới bảo mật được bổ sung của GitHub, giờ đây bạn có thể sử dụng thiết bị FIDO2 di động để xác thực SSH nhằm nâng cao tính bảo mật cho các các hoạt động của Git, cũng như ngăn chặn việc vô tình để lộ khóa cá nhân và các yêu cầu khởi tạo phần mềm độc hại mà không có sự chấp thuận của bạn.

“Sau khi được tạo, các khóa bảo mật mới này có thể được thêm vào tài khoản của bạn giống như bất kỳ khóa SSH nào khác”, Kevin Jones, Kỹ sư bảo mật cao cấp của GitHub, cho biết. "Bạn sẽ vẫn tạo một cặp khóa công khai và riêng tư, nhưng các bit bí mật sẽ được tạo và lưu trữ trong khóa bảo mật, với phần công khai được lưu trữ trên máy của bạn giống như bất kỳ khóa SSH public nào khác".

Mặc dù khóa riêng tư sẽ được lưu trữ trên máy tính cục bộ của bạn, nhưng đây sẽ chỉ là một tham chiếu đến khóa bảo mật vật lý vô dụng nếu không có quyền truy cập vào thiết bị thực tế.

Để tăng thêm khả năng phục hồi tài khoản GitHub của mình trước các hành vi độc hại, bạn nên thay thế tất cả các khóa SSH đã đăng ký trước đó bằng khóa SSH được hỗ trợ bởi key bảo mật. Điều này đảm bảo rằng bạn là người duy nhất có thể quản lý dữ liệu Git của dự án qua SSH, trong khi khóa bảo mật FIDO2 nằm trong tầm kiểm soát của bạn.

Việc chỉ sử dụng các khóa SSH được hỗ trợ bởi các thiết bị FIDO2 có nghĩa là bạn sẽ không phải theo dõi tất cả các khóa SSH mà mình tạo, vì chúng sẽ hoàn toàn vô dụng nếu không có quyền truy cập vào khóa bảo mật được ghép nối.

Ngoài ra, GitHub cũng sẽ tự động xóa mọi khóa SSH không hoạt động (không sử dụng trong hơn một năm) khỏi tài khoản của bạn. Do đó, việc quản lý khóa sẽ dễ dàng hơn rất đáng kể nếu bạn đang làm việc trên nhiều thiết bị, hoặc bạn bị mất thất lạc một trong số chúng.

Để chuyển sang quy trình SSH Git mới, bạn cần đăng nhập vào tài khoản GitHub, tạo khóa SSH mới cho khóa bảo mật phần cứng, sau đó thêm khóa đó vào tài khoản của mình.

Bắt đầu từ tháng 8/2021, Github sẽ chuyển sang xác thực dựa trên mã thông báo, lúc đó, việc xác thực hoạt động Git bằng mật khẩu tài khoản sẽ không còn được chấp nhận.