Разработчиците на хранилището за Python пакети PyPI (Python Package Index) внедриха допълнителен етап на проверка при вход, който изисква потвърждение на операцията по имейл в случай на свързване с устройство или браузър, от който преди това не е осъществяван вход. Потвърждението е задължително в допълнение на съществуващата двуфакторна автентикация, която изисква въвеждане на еднократен код (TOTP — Time-based One-Time Password) освен обичайните идентификационни данни. При използване на ключове базирани на технологии WebAuthn или Passkeys за втори фактор на автентикация, допълнително потвърждение по имейл не се изисква.
Причината за добавянето на новото проверяване е усилие за укрепване на защитата срещу фишинг. От известно време насам, за да заобиколят защитата с двуфакторна автентикация, атакуващите преминаха към приложение на прозрачно проксиране на трафик от фишингови сайтове към реалния сайт pypi.org, в резултат на което на потребителя се създава усещането за работа с реалния каталог PyPI. Страницата за вход също се проксира, а атакуващите контролират не само първоначално въведената парола за вход, но и отговора на проверъчния въпрос за втория фактор на автентикация.
Допълнителното искане за потвърждение на правата с предупреждение за опит за вход от ново устройство ще предотврати компрометиране, в случай на прихващане на TOTP кода и паролата, и ще предпази разработчиците, които не са променяли оборудването. При проксирането атакуващите могат да прихванат параметрите на акаунта и въведения еднократен код TOTP, но не могат да повлияят на потвърждението по имейл, изискващо кликване на указания в писмото линк.
Ако потребителят е получил проверяващ имейл, но не е опитвал да влезе в каталога PyPI, не трябва да преминава по линка. Ако входът е бил извършен, но устройството не се е променяло, трябва да се провери дали опитът за вход е осъществен чрез фишингов сайт и в случай на атака спешно да се смени паролата и да се провери активността в акаунта.
Източник: opennet.ru
