Vývojáři repozitáře Python balíčků PyPI (Python Package Index) zavedli ochranu proti uchvácení projektů prostřednictvím nákupu uvolněných domén uvedených v nastavení účtů. Útok spočívá v tom, že útočníci vyhledávají účty spojené s e-mailem s expirovanými doménami, poté si registrují uvolněnou doménu pro sebe, přesměrovávají e-mailový provoz na svůj server a po získání kontroly nad e-mailem iniciují proces obnovení zapomenutého hesla. V roce 2022 tímto způsobem byla získána kontrola nad Python balíčkem ctx.
Pro ochranu před podobnými útoky je v PyPI zaveden denní monitoring stavu doménových jmen, používaných v e-mailových adresách. E-mailové adresy s doménami, jejichž platnost vypršela, jsou nyní automaticky převedeny do stavu nepotvrzených. Pro nepotvrzené adresy PyPI neumožňuje provést operaci obnovení hesla. Opětovné ověření může iniciovat pouze vlastník účtu, který zná heslo.
Od začátku června bylo v uživatelské základně PyPI identifikováno více než 1800 e-mailových adres spojených s včas neprodlouženými doménami. Od 1. ledna 2024 přešel katalog PyPI na povinnou dvoufaktorovou autentizaci, bez jejíž aktivace nemůže uživatel vykonávat činnosti spojené s vedením projektu. Přesto pro staré uživatele, kteří byli vytvořeni před zavedením povinné dvoufaktorové autentizace, zůstává možnost obnovení hesla prostřednictvím potvrzení e-mailem, které nevyžaduje dvoufaktorovou kontrolu.
Zdroj: opennet.ru
