{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"Implementeringen af tofaktorgodkendelse i PyPI f\u00f8rte til en h\u00e6ndelse med sletning af en popul\u00e6r pakke.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udviklerne af Python-pakkerepositoriet PyPI har offentliggjort en plan for indf\u00f8relsen af obligatorisk to-faktor-autentifikation for pakker, der klassificeres som kritiske. Betydningen defineres ud fra antallet af downloads, og \u00e6ndringen vil blive anvendt p\u00e5 konti tilknyttet og ejere af projekter relateret til 1% af pakkerne, der topper listen over downloads de sidste 6 m\u00e5neder. I betragtning af, at PyPI-repositoriet i \u00f8jeblikket indeholder mere end 350.000 pakker, vil to-faktor-autentifikation blive brugt p\u00e5 cirka 3.500 pakker. For at kontrollere, om en konto er p\u00e5 listen, er der oprettet en speciel side. Den pr\u00e6cise dato for indf\u00f8relsen af den obligatoriske to-faktor-autentifikation er endnu ikke fastlagt, men det forventes at finde sted i de kommende m\u00e5neder. <\/p>\n
I mods\u00e6tning til overgang til to-faktor-autentifikation for RubyGems, NPM og GitHub, vil PyPI oprindeligt implementere en model, der anbefaler brugen af hardware tokens med adgangsn\u00f8gler. \u00c5rsagen til den anbefalede brug af tokens og WebAuthn-protokollen n\u00e6vnes som en h\u00f8jere sikkerhed i forhold til generering af engangskoder (muligheden for at bruge TOTP i stedet for tokens vil v\u00e6re tilg\u00e6ngelig som en valgmulighed). <\/p>\n
Tokens can be obtained for free \u2014 Google has sponsored the initiative and allocated 4,000 Titan keys for the project. Each accompanying individual can apply for free access to two tokens with a USB-C or USB-A interface. The second token is sent as a backup in case of a malfunction or loss of the main one, to minimize the risk of losing access to the repository and to spare developers from the need to go through a complicated recovery process. <\/p>\n
Desv\u00e6rre kan tokens kun sendes til \u00d8strig, Belgien, Canada, Frankrig, Tyskland, Italien, Japan, Spanien, Schweiz, Storbritannien og USA. Vedligeholdere fra andre lande kan selv k\u00f8be tokens, der er kompatible med FIDO U2F-specifikationen, s\u00e5som Yubikey og Thetis tokens. Alternativt er der ogs\u00e5 mulighed for at anvende apps til autentificering baseret p\u00e5 engangskoder, der underst\u00f8tter TOTP-protokollen, s\u00e5som Authy, Google Authenticator og FreeOTP. <\/p>\n
Initiativet gik ikke uden h\u00e6ndelser. Forfatteren af pakken Atomicwrites, som har 6 millioner downloads om m\u00e5neden og 38 millioner p\u00e5 seks m\u00e5neder, \u00f8nskede ikke at overg\u00e5 til tofaktorgodkendelse og fors\u00f8gte at nulstille downloadt\u00e6lleren for at f\u00e5 sin pakke ud af listen over kritisk vigtige. For at nulstille, slettede han f\u00f8rst pakken og uploadede derefter en ny version. Det var forventet, at en s\u00e5dan manipulation kun ville nulstille t\u00e6lleren, men til udviklerens overraskelse blev alle gamle versioner ogs\u00e5 fjernet fra repoet, hvilket f\u00f8rte til problemer for de projekter, der var afh\u00e6ngige af biblioteket, og som nogle udviklere sammenlignede med h\u00e6ndelsen for\u00e5rsaget af sletningen af pakken left-pad i NPM. <\/p>\n
Problemet blev forv\u00e6rret af, at efter sletningen kunne forfatteren af atomicwrites ikke uploade de gamle versioner, som kun blev gendannet den n\u00e6ste dag efter indgreb fra administratorerne p\u00e5 PyPI. Efter det, der skete, besluttede forfatteren af pakken at stoppe udviklingen af atomicwrites og klassificere pakken som for\u00e6ldet. Som \u00e5rsag angives det, at han udvikler projektet som en hobby i sin fritid, og at de ekstra krav, der komplicerer arbejdet, ikke st\u00e5r m\u00e5l med den tid, der bruges p\u00e5 gratis vedligeholdelse af en s\u00e5 popul\u00e6r pakke. Forfatteren af atomicwrites p\u00e5st\u00e5r, at han ville foretr\u00e6kke bare at skrive kode for sjov, mens bekymringer om ekstra beskyttelse mod overtagelse af ondsindede kan p\u00e5tages af dem, der betaler for det. <\/p>\n