Die Entwickler des Python-Paketeregisters PyPI (Python Package Index) haben Schutzmaßnahmen gegen die Übernahme von Projekten durch den Kauf von freigegebenen Domains, die in den Kontoeinstellungen angegeben sind, implementiert. Der Angriff besteht darin, dass Angreifer Konten mit E-Mail-Adressen, die an abgelaufene Domains gebunden sind, ausfindig machen, dann die freigegebene Domain auf sich selbst registrieren, den E-Mail-Verkehr auf ihren Server umleiten und, nachdem sie die Kontrolle über die E-Mail erlangt haben, den Prozess zur Wiederherstellung des vergessenen Passworts einleiten. Im Jahr 2022 wurde auf diese Weise die Kontrolle über das Python-Paket ctx erlangt.
Um sich vor ähnlichen Angriffen zu schützen, wird bei PyPI eine tägliche Überwachung der Gültigkeit Domainnamen, verwendeter E-Mail-Adressen durchgeführt. E-Mail-Adressen mit Domains, deren Gültigkeit abgelaufen ist, werden nun automatisch in den Status „nicht bestätigt“ versetzt. Für nicht bestätigte Adressen erlaubt PyPI keine Passwort-Wiederherstellungsoperationen. Eine erneute Überprüfung kann nur vom Konto-Inhaber initiiert werden, der das Passwort kennt.
Seit Anfang Juni wurden in der Benutzerbasis von PyPI über 1800 E-Mail-Adressen identifiziert, die mit nicht rechtzeitig verlängerten Domains verbunden sind. Ab dem 1. Januar 2024 wird das Verzeichnis PyPI auf obligatorische Zwei-Faktor-Authentifizierung umgestellt; ohne aktivierte Zwei-Faktor-Authentifizierung kann der Benutzer keine Aktionen zur Projektverwaltung durchführen. Dennoch bleibt für ältere Benutzer, die vor der Einführung der obligatorischen Zwei-Faktor-Authentifizierung erstellt wurden, die Möglichkeit bestehen, das Passwort über eine E-Mail-Bestätigung, die keine Zwei-Faktor-Überprüfung erfordert, wiederherzustellen.
Quelle: opennet.ru
