Каталогът PyPI премина към задължителна двуфакторна автентикация

Разработчиците на репозитория Python-пакети PyPI (Python Package Index) обявиха за внедряването на задължителна двуфакторна автентикация за всички потребители. Без активиране на двуфакторната автентикация, потребителят вече няма да може да качва файлове и да извършва действия, свързани с управлението на своя проект. По-рано двуфакторната автентикация беше принудително активирана за акаунтите на потребителите, които поддържат поне един проект или са част от управляващите пакети на организацията.

Прилагането на двуфакторна автентикация ще позволи да се засили защитата на процеса на разработка и да се защитят проектите от злонамерени промени в резултат на изтичане на фактори за автентикация, използване на същата парола на компрометиран сайт, хакерски атаки върху локалната система на разработчика или прилагане на методи на социално инженерство. Получаването на достъп от злонамерени лица в резултат на завземане на акаунти е една от най-опасните заплахи, тъй като при успешна атака могат да бъдат внедрени злонамерени промени в други продукти и библиотеки, използващи компрометиран пакет като зависимост.

Като предпочитан метод за двуфакторна автентикация е заявена схема, базирана на съвместими с FIDO U2F хардуерни токени и протокола WebAuthn, която позволява постигането на по-високо ниво на сигурност в сравнение с генерирането на еднократни пароли. Освен токените, също могат да се използват приложения за автентикация на базата на еднократни пароли, поддържащи протокол TOTP, например Authy, Google Authenticator и FreeOTP. При качване на пакети, разработчиците допълнително се препоръчва да преминат на използване на метода за автентикация 'Trusted Publishers', базиран на стандарта OpenID Connect (OIDC), или да прилагат API токени.

Източник: opennet.ru