Разработчиците на хранилището на Python пакети PyPI (Python Package Index) обявиха внедрението на задължителна двуфакторна автентикация за всички потребители. Без включена двуфакторна автентикация потребителят вече няма да може да качва файлове и да извършва действия, свързани с управлението на своя проект. По-рано двуфакторната автентикация беше задължително включена за акаунтите на потребителите, които имат поне един проект или участват в курирането на пакети на организация.
Приложението на двуфакторната автентикация ще засили защитата на процеса на разработка и ще защити проектите от извършване на зловредни промени вследствие на изтичане на потребителски данни, използването на същата парола на компрометиран сайт, хаквания на локалната система на разработчика или прилагане на методи на социален инженеринг. Получаването на достъп от страна на злонамерени лица чрез захванати акаунти е една от най-опасните заплахи, тъй като при успешно нападение могат да бъдат инжектирани зловредни промени в други продукти и библиотеки, които използват компрометиран пакет като зависимост.
Като предпочитан метод за двуфакторна автентикация е заявена схема на база съвместими със спецификацията FIDO U2F хардуерни токени и протокол WebAuthn, която позволява постигането на по-високо ниво на сигурност в сравнение с генерирането на еднократни пароли. Освен токените могат да се използват и приложения за автентикация на база еднократни пароли, които поддържат протокол TOTP, например Authy, Google Authenticator и FreeOTP. При качването на пакети разработчиците също така им се препоръчва да преминат към използването на метода на автентикация ‘Trusted Publishers’ на база стандарта OpenID Connect (OIDC) или да прилагат API токени.
Източник: opennet.ru
