{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"Die Einf\u00fchrung der Zwei-Faktor-Authentifizierung in PyPI f\u00fchrte zu einem Vorfall, bei dem ein beliebtes Paket gel\u00f6scht wurde.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler des Python-Paket-Repositorys PyPI haben einen Plan zur Einf\u00fchrung der verpflichtenden Zwei-Faktor-Authentifizierung f\u00fcr Pakete ver\u00f6ffentlicht, die als kritisch eingestuft werden. Die Kritikalit\u00e4t wird anhand der Anzahl der Downloads bestimmt, und die \u00c4nderung betrifft die Konten von Betreuern und Eigent\u00fcmern von Projekten, die mit den 1 % der am h\u00e4ufigsten heruntergeladenen Pakete der letzten 6 Monate verbunden sind. Da das PyPI-Repository derzeit \u00fcber 350.000 Pakete umfasst, wird die Zwei-Faktor-Authentifizierung f\u00fcr etwa 3.500 Pakete angewendet. Um zu \u00fcberpr\u00fcfen, ob Ihr Konto auf der Liste steht, wurde eine spezielle Seite vorbereitet. Das genaue Datum f\u00fcr die Einf\u00fchrung der verpflichtenden Zwei-Faktor-Authentifizierung steht noch nicht fest, es wird jedoch angenommen, dass dies in den kommenden Monaten geschehen wird. <\/p>\n
Im Gegensatz zur Einf\u00fchrung der Zwei-Faktor-Authentifizierung bei RubyGems, NPM und GitHub wird in PyPI von Anfang an ein Schema implementiert, das die Verwendung eines Hardware-Tokens mit Zugriffsschl\u00fcsseln empfiehlt. Der Grund f\u00fcr die empfohlene Nutzung von Tokens und des WebAuthn-Protokolls ist die h\u00f6here Sicherheit im Vergleich zur Generierung von Einmalpassw\u00f6rtern (die M\u00f6glichkeit, TOTP anstelle von Tokens zu verwenden, wird optional zur Verf\u00fcgung stehen). <\/p>\n
Die Token k\u00f6nnen kostenlos erhalten werden \u2013 Google ist Sponsor der Initiative und hat 4.000 Titan-Schl\u00fcssel f\u00fcr das Projekt bereitgestellt. Jeder Begleitperson kann einen Antrag auf den kostenlosen Erhalt von zwei Tokens mit USB-C- oder USB-A-Schnittstelle stellen. Der zweite Token wird als Backup gesendet, falls der Haupttoken besch\u00e4digt oder verloren geht, um das Risiko eines Zugangsverlusts zum Repository zu minimieren und den Entwicklern die umst\u00e4ndliche Wiederherstellungsverfahren abzunehmen. <\/p>\n
Leider k\u00f6nnen die Token nur nach \u00d6sterreich, Belgien, Kanada, Frankreich, Deutschland, Italien, Japan, Spanien, in die Schweiz, das Vereinigte K\u00f6nigreich und die USA versendet werden. Begleitpersonen aus anderen L\u00e4ndern haben die M\u00f6glichkeit, kompatible FIDO U2F-Token zu erwerben, wie beispielsweise Yubikey und Thetis. Alternativ k\u00f6nnen auch Anwendungen zur Authentifizierung basierend auf Einmalpassw\u00f6rtern verwendet werden, die das TOTP-Protokoll unterst\u00fctzen, wie Authy, Google Authenticator und FreeOTP. <\/p>\n
Die Initiative blieb nicht ohne Zwischenf\u00e4lle. Der Autor des Pakets Atomicwrites, das monatlich 6 Millionen Downloads und in 6 Monaten insgesamt 38 Millionen Downloads verzeichnet, wollte nicht auf eine Zwei-Faktor-Authentifizierung umsteigen. Um sein Paket aus der Liste der kritischen Pakete zu entfernen, versuchte er, den Download-Z\u00e4hler zur\u00fcckzusetzen. Dazu l\u00f6schte er zuerst das Paket und lud dann eine neue Version hoch. Es wurde erwartet, dass diese Manipulation lediglich den Z\u00e4hler zur\u00fccksetzt, aber zu \u00dcberraschung des Entwicklers wurden auch alle alten Versionen aus dem Repository gel\u00f6scht, was zu Problemen bei den von der Bibliothek abh\u00e4ngigen Projekten f\u00fchrte, die von einigen Entwicklern mit dem Vorfall im Zusammenhang mit dem L\u00f6schen des Pakets left-pad in NPM verglichen wurden. <\/p>\n
Das Problem versch\u00e4rfte sich, da der Autor von atomicwrites nach der L\u00f6schung keine alten Versionen mehr laden konnte. Diese konnten erst am n\u00e4chsten Tag nach Intervention der PyPI-Administratoren wiederhergestellt werden. Nach dem Vorfall entschloss sich der Paket-Autor, die Entwicklung von atomicwrites einzustellen und das Paket als veraltet zu kennzeichnen. Als Grund wird angef\u00fchrt, dass er das Projekt in seiner Freizeit als Hobby betreibt und zus\u00e4tzliche Anforderungen, die die Arbeit erschweren, nicht den Aufwand rechtfertigen, der f\u00fcr die kostenlose Wartung eines so beliebten Pakets erforderlich ist. Der Autor von atomicwrites erkl\u00e4rt, dass er es vorziehen w\u00fcrde, einfach zur Unterhaltung Code zu schreiben, und dass die Verantwortung f\u00fcr zus\u00e4tzlichen Schutz vor Angriffen von Dritten \u00fcbernommen werden kann, wenn daf\u00fcr bezahlt wird. <\/p>\n