Shutdown: GitHub verwirft Passwort-Authentifizierung für Git Operations

Ab dem heutigen Tag entfällt bei GitHub die Möglichkeit, sich mit einfachem Passwort bei den Git Operations anzumelden. Ab sofort müssen Nutzerinnen und Nutzer entweder einen SSH Key oder eine Token-basierte Authentifizierung einsetzen. Das Auslaufen der Passwort-Authentifizierung hatte der netzbasierte Dienst zur Versionsverwaltung bereits vor über einem Jahr angekündigt, die Umstellung erfolgt schrittweise seit dem 13. November 2020.

Damals stellte GitHub als Erstes die Passwort-gestützte Authentifizierung über die REST-API ein. Beim ersten Schwung an Änderungen waren die GitHub Enterprise Server noch explizit ausgenommen, auch die GitHub-Apps waren zunächst nicht betroffen. Ob und wann GitHub auch hier die Passwort-Authentifizierung abschaltet, geht aus dem aktuellen Blogeintrag nicht hervor.

Wer bereits die Zwei-Faktor-Authentifizierung nutzt, ist von der laufenden Umstellung nicht betroffen. Alle anderen GitHub-Nutzer, die sich noch mit einer Kombination aus Nutzername und Passwort für Git Operations authentifizieren, sollten sich nun um ein neues Zugangs-Token (OAuth Token oder Token zur GitHub-App-Installation) beziehungsweise um einen SSH-Schlüssel kümmern. Damit können sie auf Github.com weiterhin alle Git-Arbeiten wie beispielsweise Git Pushes ausführen.

Was jetzt zu tun ist

GitHub empfiehlt Entwicklerinnen und Entwicklern ein personalisiertes Zugangstoken über HTTPS, um Ausfälle zu vermeiden. Wer eine veraltete Drittanbieter-Integration nutzt, könnte im Zuge der Umstellung die Aufforderung erhalten, den Client auf die neueste Version zu aktualisieren. Wer GitHub beispielsweise in eigene Anwendungen integriert hat, sollte die Autorisierungs-Workflows über das Web oder über das Gerät zur Authentifizierung nutzen, um Unterbrechungen auszuschließen. Hierzu hält GitHub weiterführende Informationen in der Dokumentation bereit (Eintrag: "Authorizing OAuth Apps").

Der Passwort-Shutdown greift ab dem 13. August 2021 um 18 Uhr (MEZ), wie aus der knapp gehaltenen Ankündigung seitens GitHub hervorgeht. Wer sich für die Hintergründe der laufenden Umstellung interessiert, wird in einem ausführlichen früheren Blogpost fündig. Den ursprünglichen Fahrplan der Umstellung finden Entwicklerinnen und Entwickler im Developer-Blog von GitHub. Was jetzt zu tun ist und wie man die erforderliche Authentifizierung nutzt, lässt sich einer Beschreibung im GitHub-Blog entnehmen.

(sih)