GitHub Desktop 3.6.10 vergibt kurzlebige, sich selbst erneuernde Tokens gegen geleakte Zugänge
Victoria Shinder1 Min. LesezeitGitHub Desktop kann berechtigte Konten jetzt mit kurzlebigen Authentifizierungs-Tokens anmelden, die sich automatisch erneuern. GitHub hat die Änderung im Changelog angekündigt; sie gilt für Desktop 3.6.10 und neuer.
Ziel ist, die Zeit zu verkürzen, in der ein geleaktes Token nutzbar bleibt. Desktop erneuert die Tokens selbst, sowohl für Anfragen an die GitHub-API als auch für Git-Operationen, damit die Erneuerung den Arbeitsalltag nicht stört.
Die Einführung läuft schrittweise auf github.com, einschließlich GitHub Enterprise Cloud, deshalb haben sie noch nicht alle Installationen. GitHub Enterprise Server ist nicht Teil dieser Einführung. Bestehende Sitzungen bleiben nach dem Update angemeldet, vorhandene Tokens werden nicht umgestellt: Kurzlebige Tokens gibt es bei der Anmeldung, sobald die Einführung eine Installation erreicht. Für die Anmeldeschritte verweist GitHub auf die Dokumentation zur Desktop-Authentifizierung.
Was das bedeutet
Der Vorteil kommt erst mit der nächsten Anmeldung. Teams, die ihn auf ihren Rechnern wollen, sollten auf 3.6.10 aktualisieren und sich nach Erreichen der Einführung einmal ab- und wieder anmelden; ein langlebiges Token aus einer alten Sitzung funktioniert bis dahin weiter, mit seinem alten Risiko.