Udviklerne af Python-pakke-repositoriet PyPI (Python Package Index) har implementeret beskyttelse mod projekt-tilfangetagning ved at købe frigivne domæner, der er angivet i kontoindstillingerne. Angrebet går ud på, at angribere opsøger konti knyttet til email med udløbne domæner, hvorefter de registrerer det frigivne domæne for sig selv, omdirigerer email-trafik til deres server og, når de har kontrol over emailen, initierer processen for at nulstille glemt adgangskode. I 2022 blev kontrollen over Python-pakken ctx opnået på denne måde.
For at beskytte mod sådanne angreb er der i PyPI implementeret daglig overvågning af relevansen domenenavne, der bruges i email-adresser. Email-adresser med domæner, hvis gyldighed er udløbet, bliver nu automatisk oversat til status som ikke-bekræftet. For ikke-bekræftede adresser tillader PyPI ikke nulstillingsoperationer for adgangskoder. Genbekræftelse kan kun initieres af kontoejeren, der kender adgangskoden.
Siden begyndelsen af juni er der blevet identificeret mere end 1800 email-adresser i brugerbasen af PyPI, der er knyttet til domæner, som ikke er blevet fornyet til tiden. Fra 1. januar 2024 har kataloget PyPI overgået til obligatorisk to-faktor autentifikation, uden hvilken brugeren ikke kan udføre administrative handlinger vedrørende projektet. Dog har gamle brugere, der blev oprettet før indførelsen af obligatorisk to-faktor autentifikation, stadig muligheden for at nulstille adgangskoden gennem bekræftelse via email, der ikke kræver to-faktor verifikation.
Kilde: opennet.ru
