В PyPI е реализирана възможността за публикуване на пакети без привязване към пароли и API токени

В хранилището на пакети Python PyPI (Python Package Index) е предоставена възможност за използване на нов защитен метод за публикуване на пакети, който позволява да се избегне запазването на фиксирани пароли и токени за достъп до API на външни системи (например, в GitHub Actions). Новият метод на удостоверяване е наречен ‘Trusted Publishers’ и има за цел да реши проблема с публикуването на злонамерени актуализации, които могат да се извършат в резултат на компрометиране на външни системи и попадане в ръцете на злонамерени лица на предопределени пароли или токени.

Новият метод на удостоверяване е базиран на използването на стандарта OpenID Connect (OIDC), който предполага използването на токени за удостоверяване с ограничен срок на действие, които външните услуги и каталогът PyPI обменят, за да потвърдят операцията по публикуване на пакет вместо да се използват традиционни логин/парола или генерирани ръчно постоянни токени за достъп до API. Възможността за прилагане на механизма ‘Trusted Publishers’ е вече реализирана за обработчици, стартиращи в GitHub Actions. В бъдеще се очаква реализиране на поддръжка на Trusted Publishers и за други външни услуги.

Съпътстващите пакети могат да поставят настрана PyPI признак за доверие на идентификаторите, предоставяни от външни доставчици на OpenID (IdP, OpenID Connect Identity Provider), които външната услуга ще използва, за да поиска от PyPI токени с краткотраен срок на действие. Генерираните токени OpenID Connect потвърдиха връзката между проекта и обработващия механизъм, което позволява на PyPI да извърши допълнителна верификация на метаданни, например, да провери, че публикуваният пакет се отнася към определено хранилище. Токените не се запазват, привързани са към конкретни API и автоматично прекратяват действието си след изтичане на краткия срок на съществуване.

Допълнително може да се отбележи отчетът на компанията Sonatype с информация за откритите през март 2023 г. 6933 злонамерени пакета в каталога PyPI. От 2019 г. насам общият брой на откритите злонамерени пакети в PyPI е надхвърлил 115 хиляди. Повечето злонамерени пакети се маскират като популярни библиотеки чрез type-squatting (назначаване на подобни имена, различаващи се с отделни символи, например, exampl вместо example, djangoo вместо django, pyhton вместо python и т.н.) — злосторниците разчитат на небрежни потребители, които правят печатни грешки или не забелязват разликите в имената при търсене. Злонамерените действия обикновено включват изпращане на конфиденциални данни, намерени на локалната система в резултат на определянето на типични файлове с пароли, ключове за достъп, криптогащници, токени, сесийни бисквитки и друга конфиденциална информация.

Източник: opennet.ru