{"id":120574,"date":"2024-11-15T01:09:07","date_gmt":"2024-11-14T23:09:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov"},"modified":"2024-11-15T01:09:07","modified_gmt":"2024-11-14T23:09:08","slug":"katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","title":{"rendered":"Das PyPI-Katalog hat ein neues System zur \u00dcberpr\u00fcfung der Echtheit von Paketen eingef\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einf\u00fchrung eines digitalen Zertifizierungsmechanismus zur \u00dcberpr\u00fcfung der Authentizit\u00e4t ver\u00f6ffentlichter Pakete angek\u00fcndigt, der die vorherige Verifizierung mittels PGP-Signaturen ersetzt. Ein entscheidendes Unterscheidungsmerkmal der Zertifizierung besteht darin, dass die Ver\u00f6ffentlichung eines Pakets nicht vom Entwickler, sondern von einer dritten Partei (dem Paketverzeichnis) nach Best\u00e4tigung der Richtigkeit der Ver\u00f6ffentlichung \u00fcber einen externen OpenID Connect-Anbieter (zum Beispiel nach \u00dcberpr\u00fcfung, dass das ver\u00f6ffentlichte Paket mit dem zugeh\u00f6rigen Repository auf GitHub oder GitLab \u00fcbereinstimmt) beglaubigt wird. <\/p>\n

Das Zertifizierungssystem beseitigt die M\u00e4ngel, die dem PGP-Signatur\u00fcberpr\u00fcfungsmechanismus eigen sind, der zuvor in PyPI als veraltet erkl\u00e4rt wurde. Diese Entscheidung wurde aufgrund von Problemen bei der \u00dcberpr\u00fcfung der Zugeh\u00f6rigkeit von Entwicklern \u00f6ffentlicher PGP-Schl\u00fcssel getroffen, die zur \u00dcberpr\u00fcfung digitaler Signaturen verwendet werden \u2014 von 1069 PGP-Schl\u00fcsseln, die seit 2020 zur Erstellung von Signaturen in PyPI verwendet wurden, fehlten 29% \u00f6ffentliche Schl\u00fcssel in gro\u00dfen \u00f6ffentlichen Verzeichnissen. Servern<\/a> 35 % der Schl\u00fcssel konnten w\u00e4hrend eines Audits nicht best\u00e4tigt werden. Dabei umfassten die best\u00e4tigten 36 % der PGP-Schl\u00fcssel lediglich 0,3 % aller signierten Dateien. <\/p>\n

Im neuen System werden die zur Beglaubigung von Paketen verwendeten Signaturen mit kurzlebigen, ephemeral Schl\u00fcssel erstellt, die auf Basis von Berechtigungen generiert werden, die von OpenID Connect-Anbietern best\u00e4tigt werden. Zum Zeitpunkt der Schl\u00fcsselgenerierung, die zur Erstellung einer digitalen Signatur erforderlich sind, identifiziert sich der Entwickler \u00fcber den OpenID-Anbieter, der seine Verbindung zum Hauptprojekt best\u00e4tigt. Die Infrastruktur f\u00fcr die digitale Zertifizierung wurde mithilfe des Systems Sigstore und des in-toto Ataestationsrahmenwerks aufgebaut. <\/p>\n

Zu den Vorteilen der Zertifizierung geh\u00f6rt, dass es keine Bindung an permanente PGP-Schl\u00fcssel gibt \u2014 der Verlust oder die Kompromittierung eines privaten Schl\u00fcssels zerst\u00f6rt das Vertrauen in die darauf basierenden Signaturen, w\u00e4hrend bei der Zertifizierung die Signatur in Bezug auf ein Token erzeugt wird, das die Berechtigungen zum Zeitpunkt der Ver\u00f6ffentlichung des Pakets und die Verbindung des Pakets mit dem Hauptrepository des Codes best\u00e4tigt. Zum Beispiel bestimmt die Zertifizierung beim Hochladen eines Pakets, das \u00fcber GitHub Action erstellt wurde, die verifizierbare und best\u00e4tigte Verbindung zwischen der in PyPI ver\u00f6ffentlichten Datei, dem Repository, dem Workflow-Prozess und dem Commit-Hash, auf dessen Grundlage das Paket erstellt wurde.

\"Das<\/center> <\/p>\n

Zur Verfolgung der Authentizit\u00e4t von Schl\u00fcsseln und zur Erkennung m\u00f6glicher Kompromittierungen wird ein \u00f6ffentlicher zentralisierter Log f\u00fcr die Paketbildung von Projekten und PyPI verwendet, um die Integrit\u00e4t zu gew\u00e4hrleisten und gegen Datenverf\u00e4lschungen retrospektiv zu sch\u00fctzen, wobei eine Struktur namens \u201eMerkle-Baum\u201c (Merkle Tree) eingesetzt wird, in der jeder Zweig alle darunter liegenden Zweige und Knoten durch baumartige Hashing-Methoden verifiziert. <\/p>\n

Zus\u00e4tzlich kann die Entdeckung des sch\u00e4dlichen Pakets \u201efabrice\u201c im PyPI-Verzeichnis hervorgehoben werden, das sich mithilfe von Typ-Squatting (Vergabe \u00e4hnlicher Namen, die sich durch einzelne Zeichen unterscheiden, z. B. exampl statt example, djangoo statt django, pyhton statt python usw.) unter der beliebten Bibliothek \u201efabric\u201c maskierte, die 201 Millionen Downloads verzeichnet (7 Millionen Downloads im letzten Monat). Das sch\u00e4dliche Paket blieb seit 2021 unentdeckt und wurde seitdem \u00fcber 37.000 Mal heruntergeladen. <\/p>\n

Das Paket \u201efabrice\u201c wiederholte die grundlegende Funktionalit\u00e4t der urspr\u00fcnglichen Bibliothek und enthielt zus\u00e4tzlich Code, um Zugangsschl\u00fcssel f\u00fcr AWS (Amazon Web Services) zu ermitteln und an externe Hosts zu senden, einen Backdoor zu installieren und bestimmte Skripte auszuf\u00fchren. Die Aktivierung sch\u00e4dlicher Komponenten erfolgte in Linux und Windows. In Linux wurden die mit der sch\u00e4dlichen Aktivit\u00e4t verbundenen Dateien im Verzeichnis ~\/local\/bin\/vscode abgelegt.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PGP-\u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u043e\u0442\u043b\u0438\u0447\u0438\u0435\u043c \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 \u0437\u0430\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c, \u0430 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043b\u0438\u0446\u043e\u043c (\u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432) \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u043d\u043e\u0441\u0442\u0438 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 OpenID Connect (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120575,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120574","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Das PyPI-Verzeichnis hat ein neues System zur \u00dcberpr\u00fcfung der Authentizit\u00e4t von Paketen eingef\u00fchrt | ProHoster","description":"Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einf\u00fchrung eines Mechanismus zur digitalen Zertifizierung zur \u00dcberpr\u00fcfung der Authentizit\u00e4t ver\u00f6ffentlichten Pakete bekannt gegeben, der die vorherige \u00dcberpr\u00fcfung ersetzt hat.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u0442\u0430\u043b\u043e\u0433 PyPI \u0432\u043d\u0435\u0434\u0440\u0438\u043b \u043d\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-11-14T23:09:08+00:00","article:modified_time":"2024-11-14T23:09:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120574","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:02:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:02:22","updated":"2026-01-23 08:02:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=120574"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574\/revisions"}],"predecessor-version":[{"id":164444,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574\/revisions\/164444"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/120575"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=120574"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=120574"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=120574"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}