Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben eine zusätzliche Überprüfung während des Logins eingeführt, die eine Bestätigung der Aktion per E-Mail erfordert, falls sich ein Gerät oder Browser verbindet, von dem aus vorher kein Login durchgeführt wurde. Diese Bestätigung ist zusätzlich zur bestehenden Zwei-Faktor-Authentifizierung erforderlich, die die Eingabe eines einmaligen Codes (TOTP – zeitbasierter Einmalpasswort) neben den regulären Anmeldedaten verlangt. Bei der Verwendung von WebAuthn- oder Passkey-basierten Schlüsseln als zweiten Authentifizierungsfaktor ist keine zusätzliche Bestätigung per E-Mail erforderlich.
Als Grund für die Einführung der neuen Überprüfung wird eine verstärkte Phishing-Sicherung angegeben. Seit kurzem umgeht die Zwei-Faktor-Authentifizierung die Angreifer indem sie transparenten Verkehr von Phishing-Seiten auf die echte Website pypi.org proxen, wodurch der Benutzer den Eindruck hat, mit dem echten Katalog von PyPI zu arbeiten. Auch die Login-Seite wird proxiert, und die Angreifer kontrollieren nicht nur das ursprünglich eingegebene Passwort, sondern auch die Antwort auf die Überprüfungsanfrage des zweiten Authentifizierungsfaktors.
Eine zusätzliche Bestätigungsanfrage mit einer Warnung über den Anmeldeversuch von einem neuen Gerät verhindert eine Kompromittierung im Falle einer Abfangung des TOTP-Codes und des Passworts. Außerdem warnt sie Entwickler, die ihre Hardware nicht geändert haben. Während des Proxierens können Angreifer die Kontoinformationen und den eingegebenen Einmal-TOTP-Code abfangen, aber sie können nicht das E-Mail-Bestätigungssystem beeinflussen, das einen Klick auf den im Schreiben angegebenen Link erfordert.
Wenn der Benutzer eine Bestätigungs-E-Mail erhalten hat, aber nicht versucht hat, sich im PyPI-Verzeichnis anzumelden, sollte er nicht auf den Link klicken. Wenn ein Anmeldeversuch stattgefunden hat, das Gerät jedoch nicht gewechselt wurde, sollte überprüft werden, ob der Anmeldeversuch über eine Phishing-Seite erfolgte. Im Falle einer solchen Attacke sollte umgehend das Passwort geändert und die Aktivität im Konto überprüft werden.
Quelle: opennet.ru
