Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einführung einer verpflichtenden Zwei-Faktor-Authentifizierung für alle Benutzer angekündigt. Ohne aktivierte Zwei-Faktor-Authentifizierung kann ein Benutzer nun keine Dateien hochladen oder Aktionen im Zusammenhang mit der Verwaltung seines Projekts durchführen. Zuvor wurde die Zwei-Faktor-Authentifizierung für Benutzerkonten, die mindestens ein Projekt betreuen oder in die betreuenden Pakete einer Organisation eingebunden sind, zwingend aktiviert.
Die Anwendung der Zwei-Faktor-Authentifizierung wird den Schutz des Entwicklungsprozesses verstärken und Projekte vor schädlichen Änderungen aufgrund von Credential-Leaks, der Verwendung desselben Passworts auf einer kompromittierten Website, Einbrüchen in die lokale Umgebung des Entwicklers oder der Anwendung von Social Engineering-Methoden schützen. Der Zugang, den sich Angreifer durch das Übernehmen von Benutzerkonten verschaffen, ist eine der gefährlichsten Bedrohungen, da bei einem erfolgreichen Angriff schädliche Änderungen in andere Produkte und Bibliotheken, die das kompromittierte Paket als Abhängigkeit verwenden, eingeführt werden können.
Als bevorzugte Methode zur Zwei-Faktor-Authentifizierung wird ein Verfahren auf Basis von Hardware-Tokens, die mit der FIDO U2F-Spezifikation kompatibel sind, und dem WebAuthn-Protokoll angegeben, das einen höheren Sicherheitslevel im Vergleich zur Generierung von Einmal-Passwörtern ermöglicht. Neben Tokens können auch Authentifizierungsanwendungen auf Basis von Einmal-Passwörtern, die das TOTP-Protokoll unterstützen, wie Authy, Google Authenticator und FreeOTP, verwendet werden. Bei der Hochladung von Paketen wird Entwicklern zudem empfohlen, auf die Verwendung der 'Trusted Publishers'-Authentifizierungsmethode auf Basis des OpenID Connect (OIDC)-Standards oder der Verwendung von API-Token umzusteigen.
Quelle: opennet.ru
