Los desarrolladores del repositorio de paquetes de Python PyPI (Python Package Index) han implementado una protección contra la toma de proyectos mediante la compra de dominios liberados, especificados en los parámetros de las cuentas. El ataque consiste en que los atacantes buscan cuentas vinculadas a correos electrónicos con dominios caducados, luego registran el dominio liberado a su nombre, redirigen el tráfico de correo a su servidor y, al obtener control sobre el correo electrónico, inician el proceso de recuperación de la contraseña olvidada. En 2022, de esta manera se obtuvo el control sobre el paquete de Python ctx.
Para protegerse contra ataques como este, PyPI ha implementado un monitoreo diario de la validez de nombres de dominio, de los dominios utilizados en las direcciones de correo electrónico. Las direcciones de correo electrónico con dominios que han caducado, ahora se traducen automáticamente a un estado de no confirmadas. Para las direcciones no confirmadas, PyPI no permite realizar la operación de recuperación de contraseña. Solo el propietario de la cuenta que conozca la contraseña puede iniciar la nueva verificación.
Desde principios de junio, se han identificado más de 1800 direcciones de correo electrónico en la base de usuarios de PyPI, vinculadas a dominios que no se renovaron a tiempo. A partir del 1 de enero de 2024, el catálogo de PyPI requerirá autenticación de dos factores obligatoria, sin cuya activación, el usuario no podrá realizar acciones de gestión del proyecto. Sin embargo, para los antiguos usuarios, creados antes de la introducción de la autenticación de dos factores obligatoria, se mantiene la posibilidad de recuperación de contraseña a través de confirmación por correo electrónico, que no requiere verificación de dos factores.
Fuente: opennet.ru
