{"id":120574,"date":"2024-11-15T01:09:07","date_gmt":"2024-11-14T23:09:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov"},"modified":"2024-11-15T01:09:07","modified_gmt":"2024-11-14T23:09:08","slug":"katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","title":{"rendered":"Das PyPI-Katalog hat ein neues System zur Authentifizierung von Paketen eingef\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einf\u00fchrung eines digitalen Zertifizierungsmechanismus bekannt gegeben, um die Authentizit\u00e4t ver\u00f6ffentlichter Pakete zu \u00fcberpr\u00fcfen. Dieser ersetzt die vorherige Verifizierung mittels PGP-Signaturen. Ein wesentlicher Unterschied der Zertifizierung ist, dass die Ver\u00f6ffentlichung eines Pakets nicht vom Entwickler selbst, sondern von einer dritten Partei (dem Paketkatalog) nach \u00dcberpr\u00fcfung der Richtigkeit der Ver\u00f6ffentlichung \u00fcber einen externen Anbieter von OpenID Connect (z.B. nach der \u00dcberpr\u00fcfung, dass das ver\u00f6ffentlichte Paket mit dem zugeh\u00f6rigen Repository auf GitHub oder GitLab \u00fcbereinstimmt) bescheinigt wird. <\/p>\n

Das Zertifizierungssystem beseitigt die M\u00e4ngel des PGP-Signaturverfahrens, das zuvor als veraltet in PyPI erkl\u00e4rt wurde. Diese Entscheidung wurde aufgrund von Problemen bei der \u00dcberpr\u00fcfung von Entwicklern \u00f6ffentlicher PGP-Schl\u00fcssel getroffen, die zur \u00dcberpr\u00fcfung digitaler Signaturen verwendet werden - von 1069 PGP-Schl\u00fcsseln, die seit 2020 zur Erstellung von Signaturen in PyPI verwendet wurden, fehlten 29% der \u00f6ffentlichen Schl\u00fcssel auf gro\u00dfen \u00f6ffentlichen Servern<\/a> Schl\u00fcssel, wobei sich 35% der Schl\u00fcssel w\u00e4hrend des Audits als nicht verifizierbar erwiesen. Die best\u00e4tigten 36% der PGP-Schl\u00fcssel deckten jedoch nur 0,3% aller signierten Dateien ab. <\/p>\n

Im neuen System werden die zur Best\u00e4tigung von Paketen verwendeten Signaturen mit kurzlebigen, tempor\u00e4ren Schl\u00fcsseln erstellt, die auf der von OpenID Connect-Anbietern best\u00e4tigten Berechtigung basieren. Zum Zeitpunkt der Generierung der f\u00fcr die Erstellung der digitalen Signatur erforderlichen Schl\u00fcssel identifiziert sich der Entwickler \u00fcber den OpenID-Anbieter, der seine Verbindung zum Hauptprojekt best\u00e4tigt. Die Infrastruktur f\u00fcr die digitale Zertifizierung wurde mithilfe des Sigstore-Systems und des in-toto Attestation Frameworks aufgebaut. <\/p>\n

Zu den Vorteilen der Zertifizierung geh\u00f6rt die Unabh\u00e4ngigkeit von dauerhaften PGP-Schl\u00fcsseln - der Verlust oder die Kompromittierung des privaten Schl\u00fcssels untergr\u00e4bt das Vertrauen in die darauf basierenden Signaturen, w\u00e4hrend bei der Zertifizierung die Signatur in Verbindung mit einem Token erstellt wird, das die Berechtigungen zum Zeitpunkt der Paketver\u00f6ffentlichung best\u00e4tigt und die Verbindung des Pakets mit dem Hauptrepository des Codes herstellt. Zum Beispiel wird bei der Ver\u00f6ffentlichung eines \u00fcber GitHub Action vorbereiteten Pakets die Zertifizierung die \u00fcberpr\u00fcfbare und best\u00e4tigte Verbindung zwischen der in PyPI ver\u00f6ffentlichten Datei, dem Repository, dem Workflow-Prozess und dem Commit-Hash, auf dessen Grundlage das Paket erstellt wurde, bestimmen.

\"Das<\/center> <\/p>\n

Zur Verfolgung der Authentizit\u00e4t von Schl\u00fcsseln und zur Identifizierung m\u00f6glicher Kompromittierungen wird ein \u00f6ffentlicher zentralisierter Log verwendet, der Projekterzeugungspakete und PyPI selbst betrifft. Dies gew\u00e4hrleistet die Integrit\u00e4t und den Schutz vor nachtr\u00e4glicher Datenverf\u00e4lschung unter Verwendung der Struktur \u201eMerkle-Baum\u201c (Merkle Tree), wobei jeder Ast alle darunter liegenden \u00c4ste und Knoten dank der baumstrukturierenden Hashing-Technologie verifiziert. <\/p>\n

Zus\u00e4tzlich kann die Entdeckung des b\u00f6sartigen Pakets \u201efabrice\u201c im PyPI-Katalog hervorgehoben werden, das durch Typ-Squatting (Vergabe \u00e4hnlicher Namen, die sich durch einzelne Zeichen unterscheiden, wie exampl statt example, djangoo statt django, pyhton statt python usw.) verschleiert wurde und sich als die beliebte Bibliothek \u201efabric\u201c ausgab, die 201 Millionen Downloads (7 Millionen Downloads im letzten Monat) verzeichnet. Das b\u00f6sartige Paket blieb seit 2021 unbemerkt und wurde seitdem \u00fcber 37.000 Mal heruntergeladen. <\/p>\n

Das Paket «fabrice» wiederholte die grundlegende Funktionalit\u00e4t der urspr\u00fcnglichen Bibliothek und beinhaltete zus\u00e4tzlich Code zum Erkennen und Senden von Zugangs-Schl\u00fcsseln zu AWS (Amazon Web Services), zur Installation eines Backdoors und zur Ausf\u00fchrung bestimmter Skripte. Die Aktivierung der b\u00f6sartigen Komponenten erfolgte in Linux und Windows. In Linux wurden die mit der b\u00f6sartigen Aktivit\u00e4t verbundenen Dateien in das Verzeichnis ~\/.local\/bin\/vscode hochgeladen.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PGP-\u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u043e\u0442\u043b\u0438\u0447\u0438\u0435\u043c \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 \u0437\u0430\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c, \u0430 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043b\u0438\u0446\u043e\u043c (\u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432) \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u043d\u043e\u0441\u0442\u0438 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 OpenID Connect (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120575,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120574","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Das Verzeichnis PyPI hat ein neues System zur Authentifizierung von Paketen eingef\u00fchrt | ProHoster","description":"Die Entwickler des Python-Paket-Repositorys PyPI (Python Package Index) haben die Einf\u00fchrung eines digitalen Zertifizierungsmechanismus angek\u00fcndigt, der die Authentifizierung ver\u00f6ffentlichten Pakete unterst\u00fctzt, und damit die Verifizierung durch PGP-Signaturen ersetzt. Ein entscheidendes Merkmal der Zertifizierung ist, dass die Ver\u00f6ffentlichung eines Pakets nicht vom Entwickler, sondern von einer dritten Partei (dem Paketverzeichnis) nach Best\u00e4tigung der Richtigkeit der Ver\u00f6ffentlichung \u00fcber einen externen OpenID-Connect-Anbieter (zum Beispiel nach einer \u00dcberpr\u00fcfung) beglaubigt wird.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u0442\u0430\u043b\u043e\u0433 PyPI \u0432\u043d\u0435\u0434\u0440\u0438\u043b \u043d\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PGP-\u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u043e\u0442\u043b\u0438\u0447\u0438\u0435\u043c \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 \u0437\u0430\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c, \u0430 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043b\u0438\u0446\u043e\u043c (\u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432) \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u043d\u043e\u0441\u0442\u0438 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 OpenID Connect (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438,","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-11-14T23:09:08+00:00","article:modified_time":"2024-11-14T23:09:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120574","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:02:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:02:22","updated":"2026-01-23 08:02:22"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=120574"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574\/revisions"}],"predecessor-version":[{"id":164444,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120574\/revisions\/164444"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/120575"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=120574"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=120574"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=120574"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}