Разработчиците на репозитория за Python пакети PyPI (Python Package Index) реализираха защита срещу присвояване на проекти чрез закупуване на освободени домейни, зададени в параметрите на акаунтите. Атаката се свежда до това, че атакуващите търсят акаунти, свързани с имейл адреси с изтекли домейни, след което регистрарат освободения домейн на себе си, пренасочват имейл трафика на собствения си сървър и, след като получат контрол над имейла, инициират процеса на възстановяване на забравена парола. През 2022 година по този начин е получен контрол над Python пакета ctx.
За защита от подобни атаки в PyPI е реализиран ежедневен мониторинг на актуалността домейн имена, използвани в имейл адресите. Имейл адресите с домейни, срокът на които е изтекъл, сега автоматично се преобразуват в състояние на неподтвердени. За неподтвердените адреси PyPI не позволява да се извършва операция по възстановяване на паролата. Повторното преминаване на верификация може да инициира само собственикът на акаунта, който знае паролата.
От началото на юни в потребителската база на PyPI са открити над 1800 имейл адреса, свързани с непродължавани навреме домейни. От 1 януари 2024 година каталогът PyPI преминава на задължителна двуфакторна автентикация, без активирането на която потребителят не може да извършва действия по управление на проекта. Въпреки това, за стари потребители, създадени преди въвеждането на задължителната двуфакторна автентикация, остава възможността за възстановяване на паролата чрез потвърждение по имейл, което не изисква двуфакторна проверка.
Източник: opennet.ru
