Udviklerne af Python-pakke-repositoriet PyPI (Python Package Index) har indført et ekstra kontroltrin ved login, der kræver bekræftelse af operationen via email, hvis der tilsluttes fra en enhed eller browser, som der ikke tidligere er logget ind fra. Bekræftelsen kræves som et supplement til den eksisterende to-faktor autentifikation, som kræver indtastning af en engangskode (TOTP — Time-based One-Time Password) udover de almindelige loginoplysninger. Når der anvendes nøglebaserede teknologier som WebAuthn eller Passkeys som det andet autentifikationsfaktor, kræves der ikke yderligere emailbekræftelse.
Årsagen til at tilføje den nye kontrol er at styrke beskyttelsen mod phishing. For nylig har angribere begyndt at omgå beskyttelsen ved hjælp af to-faktor autentifikation ved at anvende gennemsigtig proxyering af trafik fra phishing-websteder til det reelle websted pypi.org, hvilket giver brugeren indtrykket af at arbejde med den reelle PyPI-katalog. Login-siden bliver også proxieret, og angriberne kontrollerer ikke kun den oprindeligt indtastede adgangskode, men også svaret på kontrolspørgsmålet for den anden autentifikationsfaktor.
Den ekstra anmodning om bekræftelse af legitimation med en advarsel om forsøg på login fra en ny enhed vil forhindre kompromittering i tilfælde af opsnapning af TOTP-koden og adgangskoden samt advare udviklere, der ikke har ændret udstyr. Ved proxyering kan angriberne opsnappe kontoindstillinger og den indtastede engangskode TOTP, men de kan ikke påvirke bekræftelsen via email, som kræver klik på det link, der er angivet i brevet.
Hvis brugeren har modtaget en bekræftelsesemail, men ikke har forsøgt at logge ind på kataloget PyPI, bør der ikke klikkes på linket. Hvis der har været et loginforsøg, men enheden ikke er ændret, bør det kontrolleres, om loginforsøget er sket via et phishing-websted, og hvis der opdages et angreb, skal adgangskoden straks ændres, og aktiviteten i kontoen bør kontrolleres.
Kilde: opennet.ru
