Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einführung einer verpflichtenden Zwei-Faktor-Authentifizierung für alle Benutzer bekannt gegeben. Ohne aktivierte Zwei-Faktor-Authentifizierung kann ein Benutzer jetzt keine Dateien hochladen und keine Aktionen im Zusammenhang mit der Verwaltung seines Projekts durchführen. Zuvor wurde die Zwei-Faktor-Authentifizierung für Konten, die mindestens ein Projekt betreuen oder in die betreuenden Organisationen eingebunden sind, zwangsläufig aktiviert.
Die Verwendung von Zwei-Faktor-Authentifizierung verbessert den Schutz des Entwicklungsprozesses und sichert Projekte vor schädlichen Änderungen aufgrund von Datenlecks, der Nutzung desselben Passworts auf einer kompromittierten Website, Hackerangriffen auf das lokale System des Entwicklers oder durch soziale Manipulation. Der Zugang von Angreifern aufgrund von Kontoübernahmen gehört zu den gefährlichsten Bedrohungen, da bei einem erfolgreichen Angriff schädliche Änderungen in andere Produkte und Bibliotheken eingefügt werden können, die das kompromittierte Paket als Abhängigkeit verwenden.
Als bevorzugte Methode der Zwei-Faktor-Authentifizierung wird ein Schema auf Basis von FIDO U2F-kompatiblen Hardware-Token und dem WebAuthn-Protokoll genannt, das ein höheres Sicherheitsniveau im Vergleich zur Generierung von Einmalpasswörtern ermöglicht. Neben Token können auch Anwendungen zur Authentifizierung auf Basis von Einmalpasswörtern verwendet werden, die das TOTP-Protokoll unterstützen, wie z.B. Authy, Google Authenticator und FreeOTP. Entwicklern wird zusätzlich empfohlen, beim Hochladen von Paketen auf die Verwendung der Authentifizierungsmethode 'Trusted Publishers' basierend auf dem OpenID Connect (OIDC)-Standard umzusteigen oder API-Token zu verwenden.
Quelle: opennet.ru
