Vývojáři repozitáře Python balíčků PyPI (Python Package Index) oznámili zavedení povinné dvoufaktorové autentizace pro všechny uživatele. Bez aktivace dvoufaktorové autentizace nebude moci uživatel nahrávat soubory a provádět úkoly spojené s řízením svého projektu. Dříve byla dvoufaktorová autentizace povinně aktivována pro účty uživatelů, kteří se podíleli na alespoň jednom projektu nebo byli zapojeni do správních balíčků organizace.
Použití dvoufaktorové autentizace zvýší ochranu procesu vývoje a zabezpečí projekty před zavedením škodlivých změn v důsledku úniku údajů o účtech, používání stejného hesla na kompromitovaném webu, hackování lokálního systému vývojáře, nebo použití metod sociálního inženýrství. Získání přístupu útočníky prostřednictvím zachycení účtů je jednou z nejnebezpečnějších hrozeb, protože v případě úspěšného útoku mohou být provedeny škodlivé změny v dalších produktech a knihovnách, které používají kompromitovaný balíček jako závislost.
Preferovaným způsobem dvoufaktorové autentizace je schéma založené na hardwarových tokenech kompatibilních se specifikací FIDO U2F a protokolem WebAuthn, které umožňuje dosáhnout vyšší úrovně zabezpečení ve srovnání s generováním jednorázových hesel. Kromě tokenů lze také použít aplikace pro autentizaci založené na jednorázových heslech, které podporují protokol TOTP, například Authy, Google Authenticator a FreeOTP. Při nahrávání balíčků je doporučeno, aby vývojáři přešli na použití metody autentizace 'Trusted Publishers' založené na standardu OpenID Connect (OIDC) nebo používali API tokeny.
Zdroj: opennet.ru
