- கட்டாய அமலாக்கம் நிரந்தரமானது: தங்களின் திட்டமிடப்பட்ட காலக்கெடுவுக்குள் 2FA ஐ கட்டமைக்கத் தவறும் டெவலப்பர்கள் வலைச் செயல்பாடுகளைச் செய்ய முடியாமல் தடுக்கப்படுவார்கள் மற்றும் நிறுவன களஞ்சியங்களிலிருந்து நீக்கப்படுவார்கள்.
- மீட்புக் குறியீடுகள் உங்கள் உயிர்நாடி: உருவாக்கப்பட்ட 16 மீட்புக் குறியீடுகளும் ஒருமுறை மட்டுமே பயன்படுத்தக்கூடியவை. அவற்றை உடனடியாக ஒரு என்க்ரிப்ட் செய்யப்பட்ட வால்ட் அல்லது ஆஃப்லைன் காகித அச்சுப்பொறியில் சேமிக்கவும்.
- Git கடவுச்சொற்கள் இனி செயல்படாது: HTTPS Git புஷ்கள் ஊடாடும் 6-இலக்கக் குறியீடுகளை ஏற்க முடியாது. நீங்கள் SSH விசைகள் அல்லது வரையறுக்கப்பட்ட Personal Access Tokens (PAT) ஐப் பயன்படுத்த வேண்டும்.
- கிரிப்டோகிராஃபிக் இறுதி வழி: உங்கள் தொலைபேசி மற்றும் மீட்புக் குறியீடுகள் இரண்டையும் இழந்தால், முன்பு பதிவுசெய்த உங்கள் உள்ளூர் SSH தனிப்பட்ட விசையைப் பயன்படுத்தி அடையாள சவாலில் கையொப்பமிடுவதன் மூலம் கணக்கு உரிமையை நிரூபிக்கலாம்.
GitHub கட்டாய 2FA கொள்கை மேலோட்டம் & பாதுகாப்பு நியாயப்படுத்தல்
வரலாற்று ரீதியாக, சமரசம் செய்யப்பட்ட டெவலப்பர் நற்சான்றிதழ்கள் பேரழிவு தரும் மென்பொருள் விநியோகச் சங்கிலி பாதிப்புகளை ஏற்படுத்தியுள்ளன. npm மற்றும் PyPI-ல் event-stream, ua-parser-js, ctx மற்றும் colors.js போன்ற முக்கிய சம்பவங்கள், ஒரு திருடப்பட்ட கணக்கு நூறாயிரக்கணக்கான வணிக மற்றும் முக்கியமான உள்கட்டமைப்பு திட்டங்களை பாதிக்கக்கூடும் என்பதை நிரூபித்தன.
தாக்குபவர்கள் உலகளாவிய நற்சான்றிதழ் பட்டியல், ஃபிஷிங் உள்கட்டமைப்பு மற்றும் ட்ரோஜனைஸ் செய்யப்பட்ட டெவலப்பர் சார்புகளைப் பயன்படுத்தி நற்சான்றிதழ்களைத் திருடுகிறார்கள். மென்பொருள் பொறியாளர்கள் மூலக் குறியீடு மற்றும் CI/CD பைப்லைன்களுக்கான நிர்வாக அணுகலுடன் வழக்கமாக செயல்படுவதால், குறியீடு பங்களிப்பாளர்களைப் பாதுகாப்பது சர்வதேச உள்கட்டமைப்பு பாதுகாப்பின் முக்கிய அம்சமாக மாறியுள்ளது.
இதற்குப் பதிலளிக்கும் விதமாக, குறியீடு பங்களிப்பாளர்கள், தொகுப்பு வெளியீட்டாளர்கள், நிறுவனப் பயனர்கள் மற்றும் நிறுவன உறுப்பினர்கள் அனைவருக்கும் டூ-ஃபேக்டர் அங்கீகாரத்தை GitHub கட்டாயமாக்கியுள்ளது:
- 2FA அமைவு முடியும் வரை GitHub வலை இடைமுகம் கேப்டிவ் கேட் நிலைக்குச் சென்று, புல் ரிக்வெஸ்ட் மதிப்பாய்வுகள், சிக்கல் கருத்துகள் மற்றும் களஞ்சிய நிர்வாகத்தைத் தடுக்கிறது.
- 2FA ஐ கட்டாயமாக்கும் நிறுவனங்கள் இணங்காத உறுப்பினர்களை தானாகவே வெளியேற்றி, எழுத்து அணுகல் மற்றும் களஞ்சிய சலுகைகளை உடனடியாக ரத்து செய்யும்.
- கணக்கு பாதுகாப்பு இணக்கம் உறுதிசெய்யப்படும் வரை தானியங்கி பைப்லைன் பணிப்பாய்வுகள், npm தொகுப்பு வெளியீட்டு விசைகள் மற்றும் களஞ்சிய அனுமதிகள் முடக்கப்படும்.
படிப்படியான பயிற்சி: TOTP அங்கீகார செயலியை இணைத்தல்
GitHub ஆனது SMS, மொபைல் அறிவிப்புகள் மற்றும் பாதுகாப்பு விசைகளை ஆதரித்தாலும், RFC 6238 TOTP அங்கீகார செயலிகள் (எ.கா. Google Authenticator, Microsoft Authenticator, Bitwarden, 2FA-Tool) விற்பனையாளர் சார்பின்மை மற்றும் ஆஃப்லைன் நம்பகத்தன்மைக்கான தங்கத் தரநிலையாகத் திகழ்கின்றன:
படி 1: அங்கீகார அமைப்புகளுக்குச் செல்லவும்
GitHub-ல் உள்நுழையவும். மேல் வலது மூலையில் உள்ள உங்கள் சுயவிவர அவதாரைக் கிளிக் செய்து ➔ Settings என்பதற்குச் செல்லவும். இடது வழிசெலுத்தல் பட்டியில் "Access" என்பதன் கீழ் Password and authentication என்பதைத் தேர்ந்தெடுக்கவும்.
படி 2: QR குறியீட்டை ஸ்கேன் செய்து மூல Base32 ரகசியத்தைப் பாதுகாக்கவும்
GitHub ஒரு QR குறியீட்டையும் அதனுடன் "enter this text code instead" என்ற உரை இணைப்பையும் காட்டுகிறது.
A3J5N2O9...) நகலெடுக்கவும். அதை உங்கள் என்க்ரிப்ட் செய்யப்பட்ட கடவுச்சொல் நிர்வாகியில் சேமிக்கவும். உங்கள் தொலைபேசி சேதமடைந்தாலோ அல்லது தொலைந்து போனாலோ எந்த சாதனத்திலும் டோக்கன்களை மீண்டும் உருவாக்க இந்த ஆல்பாநியூமரிக் விதை உதவுகிறது.
படி 3: உறுதிப்படுத்த 6-இலக்கக் குறியீட்டை உள்ளிடவும்
உங்கள் மொபைல் அங்கீகார செயலி மூலம் குறியீட்டை ஸ்கேன் செய்யவும். திரையில் தோன்றும் சுழலும் 6-இலக்க எண்ணை GitHub-ன் சரிபார்ப்பு உள்ளீட்டு புலத்தில் உள்ளிட்டு "Continue" என்பதைக் கிளிக் செய்யவும்.
மீட்புக் குறியீடுகள் காப்பகப்படுத்தல் தரநிலைகள் & கிரிப்டோகிராஃபிக் தூய்மை
வெற்றிகரமான TOTP இணைப்பிற்குப் பிறகு, GitHub உடனடியாக 16 ஹைபனேட்டட் ஹெக்ஸாடெசிமல் டோக்கன்களைக் (எ.கா. d4a2b-98f12) கொண்ட ஒரு சாளரத்தைக் காட்டுகிறது. இந்த சாளரத்தை பாதுகாப்பான பேக்கப் இல்லாமல் மூடுவது, டெவலப்பர் கணக்குகள் நிரந்தரமாக பூட்டப்படுவதற்கான மிக முக்கியமான காரணமாகும்.
1. ஒருமுறை மட்டுமே பயன்பாடு: TOTP குறியீட்டிற்குப் பதிலாகப் பயன்படுத்தப்படும் ஒவ்வொரு மீட்புக் குறியீடும் முதல் பயன்பாட்டின் போதே நிரந்தரமாக செல்லுபடியாகாமல் போகும்.
2. முதன்மை அதிகாரம்: ஒரு மீட்புக் குறியீடு இல்லாத வன்பொருளைத் தவிர்த்து கணக்கிற்கு உடனடி அணுகலை வழங்குகிறது.
3. சர்வரில் ஜீரோ-நாலேஜ் ஹாஷிங்: இந்த குறியீடுகளை மாற்ற முடியாத ஒருவழி கிரிப்டோகிராஃபிக் ஹாஷ்களாக GitHub சேமிக்கிறது. எந்த சூழ்நிலையிலும் GitHub ஆதரவுப் பொறியாளர்களால் உங்கள் அசல் குறியீடுகளை மீட்டெடுக்கவோ படிக்கவோ முடியாது!
பரிந்துரைக்கப்பட்ட மூன்று அடுக்கு கோல்ட் ஸ்டோரேஜ் உத்தி:
github-recovery-codes.txt கோப்பைப் பதிவிறக்கி, Argon2id-பெறப்பட்ட முதன்மை விசைகளைப் பயன்படுத்தி 1Password, Bitwarden அல்லது KeePassXC-ல் உள்ள உங்கள் GitHub உள்ளீட்டுடன் இணைக்கவும்.
உள்ளூர் நெட்வொர்க்குகள் மற்றும் கிளவுட் சேமிப்பகத்திலிருந்து துண்டிக்கப்பட்ட VeraCrypt-என்க்ரிப்ட் செய்யப்பட்ட ஆஃப்லைன் USB டிரைவில் உரைக்கோப்பைச் சேமிக்கவும்.
காகிதத்தில் அச்சிட்டு ஈரப்பதத்திலிருந்து பாதுகாக்கும் வகையில் லேமினேட் செய்து, ரிமோட் மால்வேர்களிலிருந்து பாதுகாக்க வீட்டில் உள்ள இயற்பியல் லாக்கரில் வைக்கவும்.
ஃபால்பேக் அங்கீகார முறைகள்: SMS vs. Passkeys vs. GitHub Mobile
இரண்டாம் நிலை ஃபால்பேக் வழிமுறைகளை கட்டமைக்க GitHub அனுமதிக்கிறது. தற்போதைய அங்கீகார முறைகள் குறித்த எங்கள் பாதுகாப்பு பகுப்பாய்வை மதிப்பாய்வு செய்யவும்:
| முறை | ஃபிஷிங் எதிர்ப்புத் திறன் | SIM-Swap பாதிப்பு | மதிப்பீடு & நடைமுறைப் பயன்பாடு |
|---|---|---|---|
| Passkeys / FIDO2 பாதுகாப்பு விசைகள் | முழுமையானது (WebAuthn ஆரிஜின் பைண்டிங் ப்ராக்ஸி ஃபிஷிங்கைத் தடுக்கிறது) | பாதிக்கப்படாது | ⭐⭐⭐⭐⭐ சிறந்த பரிந்துரை (YubiKey / Touch ID) |
| TOTP அங்கீகார செயலி | மிதமானது (நிகழ்நேர தலைகீழ் ப்ராக்ஸிகளால் பாதிக்கப்படலாம்) | பாதிக்கப்படாது | ⭐⭐⭐⭐ உலகளாவிய அடிப்படை (இணைப்புத் தேவையில்லை) |
| GitHub Mobile புஷ் அனுமதி | மிதமானது (2-இலக்க எண் சரிபார்ப்பு தூண்டுதல் தேவை) | பாதிக்கப்படாது | ⭐⭐⭐⭐ சிறந்த அன்றாட வசதி |
| SMS சரிபார்ப்பு ஃபால்பேக் | பூஜ்ஜியம் (என்க்ரிப்ட் செய்யப்படாத SS7 சிக்னலிங், எளிதில் இடைமறிக்கப்படும்) | அதிக ஆபத்து | ⭐ உயர் மதிப்பு பராமரிப்பாளர்களுக்குப் பரிந்துரைக்கப்படவில்லை |
டெர்மினல் Git பணிப்பாய்வுகள்: SSH விசைகள், PAT மற்றும் 2FA தொடர்பு
2FA செயல்படுத்தப்பட்ட பிறகு, டெவலப்பர்கள் வழக்கமான குறியீடு புஷ்களின் போது டெர்மினல் பிழைகளை எதிர்கொள்கின்றனர்:
fatal: Authentication failed for 'https://github.com/username/repo.git/'
தொழில்நுட்ப நியாயப்படுத்தல்: Git வயர் புரோட்டோகால் ஊடாடும் 6-இலக்க TOTP உரையாடல்களைக் கையாள முடியாது. இதன் விளைவாக, 2FA அமலில் இருக்கும்போது HTTPS Git கோரிக்கைகளுக்கான நேரடி கணக்கு கடவுச்சொல் அங்கீகாரத்தை GitHub நிரந்தரமாக முடக்கியது.
பொது-விசை கிரிப்டோகிராஃபியைப் பயன்படுத்துகிறது (பரிந்துரைக்கப்படுவது: ed25519). SSH இணைப்புகள் உள்ளூர் கிரிப்டோகிராஃபிக் தனிப்பட்ட விசைகள் வழியாக அங்கீகரிக்கப்படுகின்றன மற்றும் அடிக்கடி நற்சான்றிதழ் கேட்கப்படாமல் வலை 2FA ஐ முழுமையாகத் தவிர்க்கின்றன.
HTTPS போக்குவரத்து கட்டாயமாக இருந்தால், Settings ➔ Developer settings ➔ Personal access tokens என்பதற்குச் சென்று டோக்கனை உருவாக்கவும். CLI-ல் கடவுச்சொல் கேட்கப்படும்போது கணக்கு கடவுச்சொல்லுக்குப் பதிலாக PAT ஐ ஒட்டவும்.
SSH கமிட் கையொப்பமிடுதல் vs அங்கீகாரம்: SSH விசையைப் பயன்படுத்தி களஞ்சியங்களை குளோன் செய்வதும் புஷ் செய்வதும் கிரிப்டோகிராஃபிக் கமிட் கையொப்பமிடுவதிலிருந்து வேறுபட்டது என்பதை நினைவில் கொள்க. git config commit.gpgsign true மற்றும் git config gpg.format ssh மூலம் கமிட்களில் கையொப்பமிட அதே Ed25519 விசை ஜோடியைப் பயன்படுத்தலாம், இது கடுமையான 2FA அணுகல் கட்டுப்பாட்டுடன் GitHub-ல் சரிபார்க்கப்பட்ட ஆசிரியர் பேட்ஜை (Verified) உருவாக்குகிறது.
பேரழிவு மீட்பு: 2FA இல்லாமல் பூட்டப்பட்ட கணக்குகளைத் திறத்தல்
உங்கள் 2FA தொலைபேசியும் மீட்புக் குறியீடுகளும் தொலைந்துவிட்டால், GitHub வழங்கும் இறுதி கிரிப்டோகிராஃபிக் வழி: SSH விசை கையொப்ப சவால் (SSH Key Signature Challenge).
உங்கள் GitHub TOTP ரகசியத்தை உள்நாட்டில் சோதிக்கவும்
அமைப்பை முடிப்பதற்கு முன், 2FA-Tool-ல் உங்கள் மூல Base32 ரகசிய சரத்தை சோதிக்கவும். அனைத்து ஹாஷ்களும் சர்வர் பரிமாற்றம் இல்லாமல் உலாவி Web Crypto API மூலம் உள்நாட்டிலேயே கணக்கிடப்படுகின்றன.
📚 தொடர்புடைய பாதுகாப்பு வழிகாட்டிகள்
ஆஃப்லைன் QR குறியீடுகள் மற்றும் Cloud Sync-ஐப் பயன்படுத்தி ஸ்மார்ட்போன்களுக்கு இடையே 2FA கணக்குகளை பாதுகாப்பாக மாற்றுதல்.
Google, Microsoft, Steam, Binance, Apple மற்றும் Discord ஆகியவற்றில் அணுகலை எவ்வாறு மீட்டெடுப்பது.
RFC 4226 முதல் RFC 6238 வரை: கணித ஹாஷ் ட்ரங்க்கேஷன், ஒத்திசைவின்மை மற்றும் வலை பயன்பாடு.