V repozitáři Python balíčků PyPI (Python Package Index) byla zavedena možnost nového zabezpečeného způsobu publikace balíčků, který umožňuje obejít ukládání pevných hesel a tokenů pro API na externích systémech (např. v GitHub Actions). Nová metoda autentizace byla nazvána ‘Trusted Publishers’ a má za cíl vyřešit problém s publikováním škodlivých aktualizací, ke kterým dochází v důsledku kompromitace externích systémů a získání předem určených hesel nebo tokenů útočníky.
Nová metoda autentizace je založena na použití standardu OpenID Connect (OIDC), který zahrnuje používání autentizačních tokenů s omezenou dobou platnosti. Tyto tokeny jsou vyměňovány mezi externími službami a katalogem PyPI za účelem potvrzení operace publikace balíčku místo tradičního použití přihlášení/hesla nebo ručně generovaných stálých tokenů pro API. Možnost využití mechanismu 'Trusted Publishers' již byla implementována pro zpracovatele spuštěné v GitHub Actions. V budoucnu se očekává podpora Trusted Publishers i pro další externí služby.
Spolupracující balíčky mohou na straně PyPI nastavit znak důvěry identifikátorům poskytovaným externími poskytovateli OpenID (IdP, OpenID Connect Identity Provider), které externí služba použije pro žádost o dočasné tokeny od PyPI. Generované tokeny OpenID Connect potvrzují spojení mezi projektem a zpracovatelem, což umožňuje PyPI provádět další verifikaci metadat, například ověřovat, že publikovaný balíček souvisí s konkrétním repozitářem. Tokeny nejsou ukládány, jsou vázány na určité API a automaticky přestávají platit po uplynutí krátkého času života.
Dále je možné zmínit zprávu společnosti Sonatype, která uvádí, že v březnu 2023 bylo v katalogu PyPI identifikováno 6933 škodlivých balíčků. Od roku 2019 celkový počet odhalených škodlivých balíčků v PyPI překročil 115 tisíc. Většina škodlivých balíčků se maskuje za populární knihovny pomocí typesquattingu (použití podobných názvů, které se liší jen několika znaky, například exampl místo example, djangoo místo django, pyhton místo python atd.) — útočníci spoléhají na nepozorné uživatele, kteří způsobili překlep nebo si nevšimli rozdílů v názvu při hledání. Škodlivé aktivity obvykle spočívají v odesílání citlivých údajů nalezených v místním systému na základě identifikace typových souborů s hesly, přístupovými klíči, kryptoměnovými peněženkami, tokeny, relacemi Cookie a dalšími citlivými informacemi.
Zdroj: opennet.ru
