I Python-pakkerepositoryet PyPI (Python Package Index) er der indført en ny sikker metode til offentliggørelse af pakker, der tillader at undgå at gemme faste adgangskoder og API-adgangstokens på eksterne systemer (f.eks. GitHub Actions). Den nye autentificeringsmetode kaldes 'Trusted Publishers' og har til formål at løse problemet med offentliggørelse af ondsindede opdateringer, der kan opstå som følge af kompromitterede eksterne systemer og at forudbestemte adgangskoder eller tokens falder i hænderne på uautoriserede personer.
Den nye autentificeringsmetode er baseret på brugen af OpenID Connect-standarden (OIDC), som involverer brugen af autentificering tokens med begrænset gyldighed, som udveksles mellem eksterne tjenester og PyPI-kataloget for at bekræfte offentliggørelsen af pakker i stedet for at bruge traditionelle login/adgangskode eller manuelt genererede permanente adgangstokens til API. Muligheden for at anvende mekanismen 'Trusted Publishers' er allerede implementeret for workflows, der køres i GitHub Actions. I fremtiden forventes der også støtte til 'Trusted Publishers' for andre eksterne tjenester.
De tilknyttede pakker kan på PyPI angive en tillidsindikator for de identiteter, der leveres af eksterne OpenID-leverandører (IdP, OpenID Connect Identity Provider), som den eksterne tjeneste vil bruge til at anmode om kortvarige tokens fra PyPI. De genererede OpenID Connect-tokens bekræfter forbindelsen mellem projektet og workflowet, hvilket gør det muligt for PyPI at udføre yderligere validering af metadata, f.eks. at bekræfte, at den offentliggjorte pakke er relateret til et bestemt repository. Tokens gemmes ikke, er knyttet til bestemte API'er og ophører automatisk med at være gyldige efter udløbet af en kort levetid.
Der er også rapporteret om, at Sonatype i marts 2023 har identificeret 6933 ondsindede pakker i PyPI-kataloget. Siden 2019 er antallet af identificerede ondsindede pakker i PyPI steget til over 115.000. De fleste ondsindede pakker camouflerer sig som populære biblioteker ved hjælp af typosquatting (ved at bruge lignende navne, der adskiller sig med enkelte tegn, som fx exampl i stedet for example, djangoo i stedet for django, pyhton i stedet for python osv.) — angriberne håber på ligegyldige brugere, der laver tastefejl eller ikke bemærker forskellene i navnet under søgning. Ondsindede handlinger indebærer normalt at sende følsomme data, der findes på det lokale system, som følge af at identificere typiske filer med adgangskoder, adgangsnøgler, kryptovaluta-tegeldasker, tokens, session cookies og anden fortrolig information.
Kilde: opennet.ru
