Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben einen Schutz gegen das Übernehmen von Projekten durch den Kauf freigegebener Domains, die in den Kontoeinstellungen angegeben sind, eingerichtet. Bei diesem Angriff suchen Angreifer nach Konten, die an E-Mails mit abgelaufenen Domains gebunden sind, registrieren anschließend die freigegebene Domain auf ihren Namen, leiten den E-Mail-Verkehr auf ihren Server um und erlangen durch die Kontrolle über die E-Mail die Möglichkeit, den Prozess zur Wiederherstellung des vergessenen Passworts einzuleiten. Im Jahr 2022 wurde auf diese Weise die Kontrolle über das Python-Paket ctx erlangt.
Um sich vor solchen Angriffen zu schützen, implementiert PyPI eine tägliche Überwachung der Gültigkeit von Domainnamen, die in E-Mail-Adressen verwendet werden. E-Mail-Adressen mit abgelaufenen Domains werden jetzt automatisch in den Status "nicht bestätigt" versetzt. Für nicht bestätigte Adressen erlaubt PyPI keine Durchführung von Passwortwiederherstellungsoperationen. Eine erneute Überprüfung kann nur vom Kontoinhaber initiiert werden, der das Passwort kennt.
Seit Anfang Juni wurden in der Nutzerbasis von PyPI über 1800 E-Mail-Adressen entdeckt, die mit abgelaufenen Domains in Verbindung stehen. Ab dem 1. Januar 2024 wird das PyPI-Verzeichnis auf verpflichtende Zwei-Faktor-Authentifizierung umgestellt, ohne die Nutzer keine Projektmanagement-Aktivitäten durchführen können. Für alte Nutzer, die vor der Einführung der verpflichtenden Zwei-Faktor-Authentifizierung erstellt wurden, bleibt jedoch die Möglichkeit, das Passwort über eine E-Mail-Bestätigung zurückzusetzen, die keine Zwei-Faktor-Prüfung erfordert.
Quelle: opennet.ru
