Vývojáři repozitáře Python balíčků PyPI (Python Package Index) implementovali další fázi ověřování při přihlášení, která vyžaduje potvrzení operace e-mailem v případě připojení z zařízení nebo prohlížeče, z nějž se dříve nepřihlásilo. Toto potvrzení je vyžadováno jako doplněk k existující dvoufaktorové autentizaci, která vyžaduje zadání jednorázového kódu (TOTP – Time-based One-Time Password) kromě běžných přihlašovacích údajů. Při použití klíčů na bázi technologií WebAuthn nebo Passkeys jako druhého faktoru autentizace se dodatečné potvrzení e-mailem nevyžaduje.
Jako důvod přidání nového ověření se udává posílení ochrany proti phishingu. V poslední době se jinak útočníci při obraně pomocí dvoufaktorové autentizace přeorientovali na používání transparentního prozrování provozu z phishingových stránek na skutečnou stránku pypi.org, což uživateli dává dojem, že pracuje se skutečným katalogem PyPI. Přihlašovací stránka je také prozrována a útočníci kontrolují nejen původně zadané heslo, ale i odpověď na ověřovací dotaz druhého faktoru autentizace.
Dodatečný požadavek na potvrzení oprávnění s varováním o pokusu o přihlášení z nového zařízení zabrání kompromitaci v případě odposlechu TOTP kódu a hesla, a také upozorní vývojáře, kteří neměnili hardwarové vybavení. Během prozrování mohou útočníci odposlechnout parametry účtu a zadaný jednorázový kód TOTP, ale nemohou ovlivnit potvrzení e-mailem, které vyžaduje kliknutí na odkaz uvedený uvnitř zprávy.
Pokud uživatel obdržel ověřovací e-mail, ale nepokoušel se o přihlášení do katalogu PyPI, neměl by přecházet na odkaz. Jestliže došlo k pokusu o přihlášení, ale zařízení se nezměnilo, měl by zkontrolovat, zda nebyl pokus o přihlášení prostřednictvím phishingové stránky a v případě zjištění útoku neprodleně změnit heslo a zkontrolovat aktivitu v účtu.
Zdroj: opennet.ru
