В репозитория PyPI е реализирана блокировка на email с освободени домейни

Разработчиците на репозитория на Python-пакети PyPI (Python Package Index) реализираха защита срещу захващане на проекти чрез покупка на освободени домейни, посочени в параметрите на акаунтите. Атаката се състои в това, че атакуващите търсят акаунти, свързани с имейли с изтекли домейни, след което регистрират освободения домейн на себе си, пренасочват имейл трафика към своя сървър и, след като получат контрол над имейла, инициират процеса на възстановяване на забравена парола. През 2022 г. по този начин беше получен контрол върху Python-пакета ctx.

За защита от подобни атаки в PyPI е реализиран ежедневен мониторинг на актуалността домейни имена, използвани в имейл адресите. Имейл адресите с домейни, срокът на действие на които е изтекъл, сега автоматично се превеждат в състояние на непотвърдени. За непотвърдени адреси PyPI не позволява извършването на операция за възстановяване на парола. Повторно преминаване на верификацията може да иницира само собственикът на акаунта, който знае паролата.

От началото на юни в потребителската база на PyPI са установени над 1800 имейл адреса, свързани с домейни, които не са били подновени навреме. От 1 януари 2024 г. каталогът PyPI преминава на задължителна двуфакторна автентикация, без активирането на която потребителят не може да извършва действия по управление на проекта. Въпреки това, за стари потребители, създадени преди въвеждането на задължителната двуфакторна автентикация, остава възможността за възстановяване на парола чрез потвърждение по имейл, която не изисква двуфакторна проверка.

Източник: opennet.ru