Los desarrolladores del repositorio de paquetes de Python, PyPI (Python Package Index), han anunciado la implementación de la autenticación de dos factores obligatoria para todos los usuarios. Sin la habilitación de la autenticación de dos factores, los usuarios no podrán subir archivos ni realizar acciones relacionadas con la gestión de su proyecto. Anteriormente, la autenticación de dos factores se activó de manera obligatoria para las cuentas de los usuarios que gestionan al menos un proyecto o que participan en paquetes de una organización.
La aplicación de la autenticación de dos factores permitirá reforzar la seguridad del proceso de desarrollo y protegerá los proyectos de modificaciones maliciosas como resultado de la filtración de credenciales, el uso de la misma contraseña en un sitio comprometido, ataques a la sistema local del desarrollador o métodos de ingeniería social. El acceso de los delincuentes a través de la captura de cuentas es una de las amenazas más peligrosas, ya que en caso de un ataque exitoso, pueden realizarse inyecciones de cambios maliciosos en otros productos y bibliotecas que utilizan el paquete comprometido como dependencia.
Como método preferido de autenticación de dos factores, se ha declarado el esquema basado en tokens de hardware compatibles con la especificación FIDO U2F y el protocolo WebAuthn, el cual proporciona un nivel de seguridad más alto en comparación con la generación de contraseñas de un solo uso. Además de los tokens, también se pueden utilizar aplicaciones para autenticación basadas en contraseñas de un solo uso que soportan el protocolo TOTP, como Authy, Google Authenticator y FreeOTP. Al subir paquetes, se recomienda a los desarrolladores que adopten el método de autenticación 'Trusted Publishers' basado en el estándar OpenID Connect (OIDC) o que utilicen tokens de API.
Fuente: opennet.ru
