Udviklerne af Python-pakkeindekset PyPI har annonceret indførelsen af obligatorisk to-faktor-autentificering for alle brugere. Uden aktivering af to-faktor-autentificering kan brugeren nu ikke uploade filer eller udføre handlinger relateret til administration af sit projekt. Tidligere blev to-faktor-autentificering gjort obligatorisk for brugerkonti, der har mindst ét projekt eller indgår i de organisationer, der overvåger pakker.
Anvendelsen af to-faktor-autentificering vil styrke sikkerheden i udviklingsprocessen og beskytte projekter mod ondsindede ændringer som følge af databrud, brug af samme adgangskode på et kompromitteret websted, hacking af udviklerens lokale system eller anvendelse af social engineering-metoder. At få adgang til konti som følge af account takeover er en af de mest alvorlige trusler, da en vellykket angreb kan resultere i indsprøjtning af ondsindede ændringer i andre produkter og biblioteker, der bruger den kompromitterede pakke som afhængighed.
Den foretrukne metode til to-faktor-autentificering er baseret på hardware tokens kompatible med FIDO U2F-specifikationen og WebAuthn-protokollen, som giver et højere sikkerhedsniveau sammenlignet med generering af engangskoder. Udover tokens kan der også bruges autentifikationsapps baseret på engangskoder, der understøtter TOTP-protokollen, såsom Authy, Google Authenticator og FreeOTP. Ved upload af pakker anbefales udviklerne desuden at skifte til ’Trusted Publishers’-autentifikationsmetoden baseret på OpenID Connect (OIDC) standarden eller anvende API-tokens.
Kilde: opennet.ru
