- अनिवार्य अंमलबजावणी कायमस्वरूपी आहे: जे विकासक त्यांच्या नियोजित अंतिम मुदतीपर्यंत 2FA कॉन्फिगर करण्यात अयशस्वी ठरतात त्यांना वेब कृती करण्यापासून रोखले जाते आणि संस्थांच्या रिपॉझिटरीजमधून त्यांचे अधिकार काढून घेतले जातात.
- रिकव्हरी कोड्स ही तुमची जीवनरक्षक नौका आहे: तयार केलेले 16 रिकव्हरी कोड्स सिंगल-यूज (फक्त एकदाच वापरण्यायोग्य) असतात. त्यांना त्वरित एका एन्क्रिप्टेड व्हॉल्टमध्ये किंवा ऑफलाइन प्रत्यक्ष प्रिंटआउटमध्ये साठवा.
- Git पासवर्ड आता चालत नाहीत: HTTPS Git पुश परस्परसंवादी 6-अंकी कोड स्वीकारू शकत नाहीत. तुम्ही SSH Keys किंवा स्कोप्ड Personal Access Tokens (PATs) वापरणे आवश्यक आहे.
- क्रिप्टोग्राफिक अंतिम उपाय: जर तुम्ही तुमचा फोन आणि कोड गमावले, तर तुम्ही तुमच्या आधी नोंदणीकृत स्थानिक SSH प्रायव्हेट की चा वापर करून ओळख आव्हानावर (identity challenge) स्वाक्षरी करून मालकी सिद्ध करू शकता.
GitHub अनिवार्य 2FA धोरण विहंगावलोकन आणि सुरक्षेचे कारण
ऐतिहासिकदृष्ट्या, विकासकांच्या तडजोड झालेल्या क्रेडेन्शियल्समुळे सॉफ्टवेअर सप्लाय चेनमध्ये आपत्तीजनक असुरक्षा निर्माण झाल्या. हाय-प्रोफाइल घटना—जसे की npm आणि PyPI वरील event-stream, ua-parser-js, ctx, आणि colors.js चे टेकओव्हर—यांनी हे सिद्ध केले की एका चोरीला गेलेल्या खात्यामुळे लाखो डाउनस्ट्रीम व्यावसायिक आणि गंभीर पायाभूत सुविधा प्रकल्प धोक्यात येऊ शकतात.
आक्रमणकर्ते जागतिक क्रेडेंशियल्स-स्टफिंग याद्या, फिशिंग पायाभूत सुविधा आणि ट्रोजनयुक्त डेव्हलपर डिपेन्डन्सीजचा वापर करून क्रेडेंशियल्स गोळा करतात. सॉफ्टवेअर अभियंते नियमितपणे सोर्स कोड आणि CI/CD डिप्लॉयमेंट पाइपलाइनमध्ये रूट किंवा प्रशासकीय ऍक्सेससह काम करत असल्याने, कोड कमिटर्सची सुरक्षा ही आंतरराष्ट्रीय पायाभूत सुविधांच्या सुरक्षेची बाब बनली.
याला प्रतिसाद म्हणून, GitHub ने एक बहु-टप्प्यांची सार्वत्रिक आवश्यकता स्थापित केली ज्यामध्ये सर्व कोड कमिटर्स, पॅकेज प्रकाशक, एंटरप्राइझ वापरकर्ते आणि संस्था सदस्यांसाठी टू-फॅक्टर ऑथेंटिकेशन अनिवार्य केले गेले:
- 2FA सेटअप पूर्ण होईपर्यंत पुल रिक्वेस्ट रिव्ह्यू, इश्यू कमेंटिंग आणि रिपॉझिटरी प्रशासनास मनाई करत GitHub वेब इंटरफेस कॅप्टिव्ह गेट मोडलमध्ये प्रवेश करतो.
- 2FA लागू करणाऱ्या एंटरप्राइझ संस्था गैर-अनुपालक सदस्यांना आपोआप बाहेर काढतात, ज्यामुळे राइट (write) ऍक्सेस आणि रिपॉझिटरी विशेषाधिकार त्वरित काढून घेतले जातात.
- खाते सुरक्षा अनुपालनाचे प्रमाणीकरण होईपर्यंत स्वयंचलित वर्कफ्लो पाइपलाइन, npm पॅकेज पब्लिशिंग की आणि सूक्ष्म रिपॉझिटरी परवानग्या गोठवल्या जातात.
टप्प्याटप्प्याने ट्यूटोरियल: TOTP ऑथेंटिकेटर जोडणे
जरी GitHub SMS, मोबाइल नोटिफिकेशन्स आणि हार्डवेअर की चे समर्थन करत असले, तरी RFC 6238 TOTP ऑथेंटिकेटर अॅप (उदा. Google Authenticator, Bitwarden, 2FA-Tool) हे कोणत्याही व्हेंडरवर अवलंबून नसलेले आणि ऑफलाइन विश्वासार्हतेचे सुवर्ण मानक मानले जाते:
पायरी 1: ऑथेंटिकेशन सेटिंग्जवर जा
GitHub वर लॉग इन करा. वरच्या उजव्या कोपऱ्यात तुमच्या प्रोफाइल अव्हॅटारवर क्लिक करा ➔ Settings. डाव्या बाजूच्या नेव्हिगेशन साइडबारमध्ये "Access" अंतर्गत, Password and authentication निवडा.
पायरी 2: QR कोड स्कॅन करा आणि कच्चा Base32 सिक्रेट सुरक्षित ठेवा
GitHub एका टेक्स्ट लिंकसह ऑप्टिकल QR कोड सादर करतो: "enter this text code instead".
A3J5N2O9...). ती तुमच्या एन्क्रिप्टेड पासवर्ड मॅनेजरमध्ये साठवा. ही अक्षरांकीय सीड तुमचा फोन नष्ट झाल्यास कोणत्याही डिव्हाइसवर प्रमाणीकरण टोकन्स पुन्हा मिळविण्यास सक्षम करते.
पायरी 3: पुष्टी करण्यासाठी 6-अंकी कोड प्रविष्ट करा
तुमच्या मोबाइल ऑथेंटिकेटरने कोड स्कॅन करा. तुमच्या स्क्रीनवर दिसणारा 6-अंकी नंबर GitHub च्या पडताळणी फील्डमध्ये प्रविष्ट करा आणि "Continue" वर क्लिक करा.
रिकव्हरी कोड्स संग्रहण मानके आणि क्रिप्टोग्राफिक स्वच्छता
यशस्वी TOTP पेअरिंगनंतर, GitHub त्वरित 16 हायफनेटेड हेक्साडेसिमल टोकन्स (उदा. d4a2b-98f12) सह एक मोडल प्रदर्शित करतो. कायमस्वरूपी बॅकअप न घेता हे मोडल बंद करणे हे डेव्हलपर खात्यांच्या कायमस्वरूपी लॉकआउटचे सर्वात सामान्य कारण आहे.
1. केवळ एकच वापर (Single-Use Only): प्रत्येक रिकव्हरी कोड TOTP कोडच्या जागी पहिल्यांदा वापरल्यानंतर अपरिवर्तनीयपणे अवैध ठरतो.
2. मास्टर अधिकार: रिकव्हरी कोड हरवलेल्या हार्डवेअरला ओव्हरराइड करतो आणि त्वरित खात्यात प्रवेश देतो.
3. झिरो-नॉलेज सर्व्हर हॅशिंग: GitHub हे कोड्स अपरिवर्तनीय वन-वे क्रिप्टोग्राफिक हॅश म्हणून साठवते. GitHub सपोर्ट अभियंते कोणत्याही परिस्थितीत तुमचे मूळ कोड्स पुनर्प्राप्त किंवा वाचू शकत नाहीत!
शिफारस केलेले 3-टियर कोल्ड स्टोरेज धोरण:
github-recovery-codes.txt डाउनलोड करा आणि Argon2id-व्युत्पन्न मास्टर की वापरून 1Password, Bitwarden किंवा KeePassXC मधील तुमच्या GitHub नोंदणीला जोडा.
स्थानिक नेटवर्क आणि क्लाउड स्टोरेज सिंक्रोनाइझर्सपासून डिस्कनेक्ट ठेवलेल्या VeraCrypt-एन्क्रिप्टेड ऑफलाइन USB ड्राइव्हवर टेक्स्ट फाइल सेव्ह करा.
कागदावर प्रत्यक्ष प्रत प्रिंट करा, ओलाव्यापासून संरक्षणासाठी ती लॅमिनेट करा आणि रिमोट इन्फो-स्टीलर्सपासून बचावासाठी घरातील तिजोरीत सुरक्षित ठेवा.
फॉलबॅक प्रमाणीकरण पद्धती: SMS वि. Passkeys वि. GitHub Mobile
GitHub दुय्यम फॉलबॅक यंत्रणा कॉन्फिगर करण्याची परवानगी देतो. सध्याच्या ऑथेंटिकेशन पर्यायांचे आमचे सुरक्षा विश्लेषण तपासा:
| पद्धत | फिशिंग प्रतिकार | SIM-Swap असुरक्षितता | मूल्यांकन आणि व्यावहारिक वापर |
|---|---|---|---|
| Passkeys / FIDO2 सुरक्षा की | परिपूर्ण (WebAuthn ओरिजिन बाइंडिंग प्रॉक्सी फिशिंग रोखते) | सुरक्षित (Immune) | ⭐⭐⭐⭐⭐ सर्वोच्च शिफारस (YubiKey / Touch ID) |
| TOTP ऑथेंटिकेटर अॅप | मध्यम (रिअल-टाइम रिव्हर्स प्रॉक्सीसाठी असुरक्षित) | सुरक्षित (Immune) | ⭐⭐⭐⭐ सार्वत्रिक आधाररेखा (शून्य कनेक्टिव्हिटी अवलंबित्व) |
| GitHub Mobile पुश मंजुरी | मध्यम (2-अंकी पडताळणी प्रॉम्प्ट आवश्यक) | सुरक्षित (Immune) | ⭐⭐⭐⭐ दैनंदिन वापरासाठी उत्कृष्ट सुविधा |
| SMS पडताळणी फॉलबॅक | शून्य (अनएन्क्रिप्टेड SS7 सिग्नलिंग, सहज रोखले जाते) | उच्च धोका | ⭐ उच्च-प्रोफाइल मेंटेनर्ससाठी शिफारस केलेली नाही |
टर्मिनल Git वर्कफ्लो: SSH की, PATs आणि 2FA परस्परसंवाद
2FA सक्रिय केल्यानंतर, विकासकांना नियमित कोड पुश दरम्यान टर्मिनलमध्ये खालील त्रुटी वारंवार आढळते:
fatal: Authentication failed for 'https://github.com/username/repo.git/'
तांत्रिक कारण: Git वायर प्रोटोकॉल परस्परसंवादी 6-अंकी TOTP संवाद हाताळू शकत नाही. परिणामी, 2FA लागू असताना GitHub ने HTTPS Git विनंत्यांसाठी मूळ खाते पासवर्ड प्रमाणीकरण कायमचे निष्क्रिय केले आहे.
पब्लिक-की क्रिप्टोग्राफी वापरते (शिफारस: ed25519). SSH कनेक्शन स्थानिक क्रिप्टोग्राफिक खाजगी की द्वारे प्रमाणीकृत होतात आणि वारंवार क्रेडेंशियल प्रॉम्प्टशिवाय Web 2FA पूर्णपणे बायपास करतात.
HTTPS ट्रान्सपोर्ट अनिवार्य असल्यास, स्कोप्ड टोकन तयार करण्यासाठी Settings ➔ Developer settings ➔ Personal access tokens वर जा. CLI मध्ये पासवर्ड विचारल्यावर, तुमच्या खाते पासवर्डऐवजी PAT पेस्ट करा.
SSH कमिट स्वाक्षरी वि. ऑथेंटिकेशन: लक्षात ठेवा की रिपॉझिटरीज क्लोन आणि पुश करण्यासाठी SSH की वापरणे हे क्रिप्टोग्राफिक कमिट स्वाक्षरीपेक्षा वेगळे आहे. तुम्ही कमिट्सवर स्वाक्षरी करण्यासाठी git config commit.gpgsign true आणि git config gpg.format ssh सह तीच Ed25519 की जोडी वापरू शकता, ज्यामुळे कडक 2FA ऍक्सेस नियंत्रणासह GitHub वर सत्यापित लेखक बॅज मिळतात.
आपत्कालीन रिकव्हरी: 2FA शिवाय लॉक झालेले खाते अनलॉक करणे
जर तुमचा 2FA फोन गहाळ झाला आणि तुमचा रिकव्हरी कोड दस्तऐवज हरवला, तर GitHub एक अंतिम क्रिप्टोग्राफिक लाइफजॅकेट देते: The SSH Key Signature Challenge.
तुमचे GitHub TOTP सिक्रेट स्थानिक पातळीवर तपासा
सेटअप पूर्ण करण्यापूर्वी, 2FA-Tool मध्ये तुमच्या कच्च्या Base32 सिक्रेट स्ट्रिंगची चाचणी घ्या. शून्य सर्व्हर ट्रान्समिशनसह सर्व हॅश ब्राऊझर Web Crypto द्वारे स्थानिक पातळीवर मोजले जातात.
📚 संबंधित सुरक्षा मार्गदर्शक
ऑफलाइन QR कोड्स आणि Cloud Sync वापरून स्मार्टफोन दरम्यान 2FA खाती सुरक्षितपणे ट्रान्सफर करणे.
Google, Microsoft, Steam, Binance, Apple आणि Discord वर पुन्हा प्रवेश कसा मिळवावा.
RFC 4226 ते RFC 6238: गणितीय हॅश ट्रंकेशन, डीसिंक्रोनाइझेशन आणि वेब अवलंबन.