В PyPI е реализирана възможност за публикуване на пакети без привързване към пароли и API токени.

В хранилището на Python пакети PyPI (Python Package Index) е предоставена възможност за използване на нов защитен метод за публикуване на пакети, който позволява да се заобиколят фиксираните пароли и токени за достъп до API в външни системи (например, в GitHub Actions). Новият метод на автентикация получи името ‘Trusted Publishers’ и има за цел да реши проблема с публикуването на злонамерени актуализации, произтичащи от компрометиране на външни системи и попадането на предварително зададени пароли или токени в ръцете на злонамерени лица.

Новият метод на автентикация се основава на използването на стандарта OpenID Connect (OIDC), който предвижда използването на удостоверителни токени с ограничен срок на действие, които външните услуги и каталога PyPI обменят помежду си за потвърждаване на операцията по публикуване на пакет, вместо традиционния логин/парола или ръчно генерирани постоянни токени за достъп до API. Възможността за използване на механизма „Trusted Publishers“ вече е реализирана за обработчици, стартирани в GitHub Actions. В бъдеще се очаква да се реализира поддръжка на Trusted Publishers и за други външни услуги.

Съпровождащите пакети могат на страната на PyPI да зададат знак за доверие на идентификаторите, предоставени от външни доставчици на OpenID (IdP, OpenID Connect Identity Provider), които външната услуга ще използва за заявка от PyPI за краткотрайни токени. Генерираните токени OpenID Connect потвърдяват връзката между проекта и обработчика, което позволява на PyPI да извършва допълнителна верификация на метаданните, например да проверява, че публикуваният пакет съответства на определеното хранилище. Токените не се съхраняват, свързани са с определени API и автоматично прекратяват действието си след изтичане на краткия срок на валидност.

Допълнително може да се отбележи докладът на компанията Sonatype с информация за откритите през март 2023 година 6933 злонамерени пакета в каталога PyPI. Общо от 2019 година броят на откритите злонамерени пакети в PyPI надхвърли 115 хиляди. Голямата част от злонамерените пакети се маскират под популярни библиотеки чрез типсквотинг (назначаване на подобни имена, които се различават с отделни символи, например, exampl вместо example, djangoo вместо django, pyhton вместо python и т.н.) — злонамерените лица разчитат на небрежни потребители, които правят печатни грешки или не забелязват разликите в името при търсене. Злонамерените действия обикновено се свеждат до изпращане на конфиденциални данни, открити на локалната система в резултат на определяне на типови файлове с пароли, ключове за достъп, криптовалути, токени, сесийни бисквитки и друга конфиденциална информация.

Източник: opennet.ru