Die Entwickler des Python-Paket-Repositorys PyPI haben einen Plan zur Einf\u00fchrung einer verpflichtenden Zwei-Faktor-Authentifizierung f\u00fcr Pakete ver\u00f6ffentlicht, die als kritisch eingestuft werden. Die Bedeutung wird anhand der Anzahl der Downloads bestimmt, und die \u00c4nderung wird auf die Konten der Betreuer und Eigent\u00fcmer von Projekten angewendet, die mit 1 % der am h\u00e4ufigsten heruntergeladenen Pakete in den letzten 6 Monaten verbunden sind. Angesichts der Tatsache, dass das PyPI-Repository derzeit \u00fcber 350.000 Pakete umfasst, wird die Zwei-Faktor-Authentifizierung voraussichtlich f\u00fcr etwa 3.500 Pakete gelten. Um zu \u00fcberpr\u00fcfen, ob ein Konto in die Liste aufgenommen wird, wurde eine spezielle Seite vorbereitet. Das genaue Datum der Einf\u00fchrung der verpflichtenden Zwei-Faktor-Authentifizierung steht noch nicht fest, es wird jedoch angenommen, dass dies in den kommenden Monaten geschehen wird. <\/p>\n
Im Gegensatz zur Einf\u00fchrung der Zwei-Faktor-Authentifizierung bei RubyGems, NPM und GitHub wird in PyPI anfangs ein Schema implementiert, das die w\u00fcnschenswerte Verwendung eines Hardware-Tokens mit Zugriffsschl\u00fcsseln vorsieht. Als Grund f\u00fcr die empfohlene Verwendung von Tokens und dem WebAuthn-Protokoll wird eine h\u00f6here Sicherheit im Vergleich zur Generierung von Einmalpassw\u00f6rtern genannt (die M\u00f6glichkeit, TOTP anstelle von Tokens zu verwenden, wird als Option verf\u00fcgbar sein). <\/p>\n
Token k\u00f6nnen kostenlos erhalten werden \u2013 das Unternehmen Google hat sich als Sponsor der Initiative engagiert und daf\u00fcr 4000 Titan-Schl\u00fcssel bereitgestellt. Jeder Begleiter kann einen Antrag auf den kostenlosen Erhalt von zwei Token mit USB-C- oder USB-A-Schnittstelle stellen. Der zweite Token wird als Sicherung versendet, f\u00fcr den Fall, dass der Haupttoken besch\u00e4digt oder verloren geht, um das Risiko eines Zugangsverlustes zum Repository zu minimieren und die Entwickler von der Notwendigkeit zu befreien, ein kompliziertes Wiederherstellungsverfahren durchlaufen zu m\u00fcssen. <\/p>\n
Leider k\u00f6nnen die Tokens nur nach \u00d6sterreich, Belgien, Kanada, Frankreich, Deutschland, Italien, Japan, Spanien, in die Schweiz, das Vereinigte K\u00f6nigreich und die USA versendet werden. Betreuer aus anderen L\u00e4ndern k\u00f6nnen kompatible Tokens, die der FIDO U2F-Spezifikation entsprechen, selbst erwerben, beispielsweise sind Tokens von Yubikey und Thetis geeignet. Alternativ besteht auch die M\u00f6glichkeit, anstelle eines Tokens Anwendungen zur Authentifizierung mit Einmalpassw\u00f6rtern zu verwenden, die das TOTP-Protokoll unterst\u00fctzen, wie z. B. Authy, Google Authenticator und FreeOTP. <\/p>\n
Die Initiative blieb nicht ohne Vorfall. Der Autor des Pakets Atomicwrites, das monatlich 6 Millionen Downloads und in 6 Monaten 38 Millionen Downloads verzeichnete, wollte nicht auf die Zwei-Faktor-Authentifizierung umsteigen und versuchte, seinen Download-Z\u00e4hler zur\u00fcckzusetzen, um sein Paket aus der Liste der kritischen Pakete zu entfernen. Dazu l\u00f6schte er zun\u00e4chst das Paket und lud dann eine neue Version hoch. Es wurde erwartet, dass eine solche Manipulation lediglich den Z\u00e4hler zur\u00fccksetzt, aber zu dem \u00dcberraschung des Entwicklers wurden auch alle alten Versionen aus dem Repository gel\u00f6scht, was zu Problemen bei Projekten f\u00fchrte, die von der Bibliothek abhingen. Einige Entwickler verglichen dies mit dem Vorfall, der durch die L\u00f6schung des Pakets left-pad in NPM verursacht wurde. <\/p>\n
Das Problem versch\u00e4rfte sich dadurch, dass der Autor von atomicwrites nach der L\u00f6schung keine alten Versionen mehr hochladen konnte. Diese konnten erst am n\u00e4chsten Tag nach dem Eingreifen der Administratoren von PyPI wiederhergestellt werden. Nach den Vorf\u00e4llen entschied der Autor des Pakets, die Entwicklung von atomicwrites einzustellen und das Paket in die Kategorie der veralteten Pakete zu \u00fcberf\u00fchren. Als Grund wird angef\u00fchrt, dass er das Projekt als Hobby in seiner Freizeit entwickelt und zus\u00e4tzliche Anforderungen, die die Arbeit erschweren, nicht den Aufwand wert sind, den er f\u00fcr die kostenlose Wartung eines so popul\u00e4ren Pakets aufwenden m\u00fcsste. Der Autor von atomicwrites behauptet, dass er es vorziehen w\u00fcrde, einfach aus Spa\u00df Code zu schreiben, und dass die Verantwortung f\u00fcr zus\u00e4tzliche Schutzma\u00dfnahmen gegen Angriffe von Dritten auf diejenigen abgew\u00e4lzt werden kann, die daf\u00fcr bezahlen. <\/p>\n