{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"La implementaci\u00f3n de la autenticaci\u00f3n de dos factores en PyPI ha causado un incidente de eliminaci\u00f3n de un paquete popular","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Los desarrolladores del repositorio de paquetes Python PyPI han publicado un plan para la transici\u00f3n a la autenticaci\u00f3n de dos factores obligatoria para los paquetes que se consideran cr\u00edticos. Esta consideraci\u00f3n se basa en el n\u00famero de descargas, y el cambio se aplicar\u00e1 a las cuentas de los mantenedores y propietarios de proyectos relacionados con el 1% de los paquetes m\u00e1s descargados en los \u00faltimos seis meses. Dado que actualmente el repositorio PyPI incluye m\u00e1s de 350,000 paquetes, la autenticaci\u00f3n de dos factores se aplicar\u00e1 a aproximadamente 3,500 paquetes. Se ha preparado una p\u00e1gina especial para verificar si una cuenta est\u00e1 en la lista. La fecha exacta para la implementaci\u00f3n de la autenticaci\u00f3n de dos factores obligatoria a\u00fan no se ha determinado, pero se espera que ocurra en los pr\u00f3ximos meses. <\/p>\n
A diferencia de la transici\u00f3n a la autenticaci\u00f3n de dos factores en los proyectos RubyGems, NPM y GitHub, en PyPI se implementar\u00e1 inicialmente un esquema que contempla el uso preferente de un token de hardware con claves de acceso. La alta seguridad en comparaci\u00f3n con la generaci\u00f3n de contrase\u00f1as de un solo uso es la raz\u00f3n recomendada para el uso de tokens y el protocolo WebAuthn (la posibilidad de usar TOTP en lugar de tokens estar\u00e1 disponible como opci\u00f3n). <\/p>\n
Los tokens se podr\u00e1n obtener gratuitamente \u2014 la compa\u00f1\u00eda Google ha patrocinado la iniciativa y ha destinado 4,000 claves Titan para el proyecto. Cada acompa\u00f1ante puede solicitar la recepci\u00f3n gratuita de dos tokens con interfaz USB-C o USB-A. El segundo token se env\u00eda como respaldo en caso de da\u00f1o o p\u00e9rdida del principal, para minimizar el riesgo de p\u00e9rdida de acceso al repositorio y evitar que los desarrolladores tengan que pasar por un complicado proceso de recuperaci\u00f3n de acceso. <\/p>\n
Desafortunadamente, los tokens solo pueden ser enviados a Austria, B\u00e9lgica, Canad\u00e1, Francia, Alemania, Italia, Jap\u00f3n, Espa\u00f1a, Suiza, Reino Unido y Estados Unidos. Los mantenedores de otros pa\u00edses pueden adquirir por su cuenta tokens compatibles con la especificaci\u00f3n FIDO U2F, como los tokens Yubikey y Thetis. Tambi\u00e9n se contempla la posibilidad de utilizar aplicaciones de autenticaci\u00f3n basadas en contrase\u00f1as de un solo uso que soporten el protocolo TOTP, como Authy, Google Authenticator y FreeOTP. <\/p>\n
La iniciativa no estuvo exenta de incidentes. El autor del paquete Atomicwrites, que cuenta con 6 millones de descargas al mes y 38 millones en 6 meses, se neg\u00f3 a adoptar la autenticaci\u00f3n de dos factores y, para excluir su paquete de la lista de cr\u00edticos, intent\u00f3 reiniciar el contador de descargas. Para hacer esto, primero elimin\u00f3 el paquete y luego subi\u00f3 una nueva versi\u00f3n. Se esperaba que esta manipulaci\u00f3n solo reiniciara el contador, pero para sorpresa del desarrollador, tambi\u00e9n se eliminaron todas las versiones anteriores del repositorio, lo que caus\u00f3 problemas en los proyectos que depend\u00edan de la biblioteca, que algunos desarrolladores compararon con el incidente que result\u00f3 de la eliminaci\u00f3n del paquete left-pad en NPM. <\/p>\n
El problema se agrav\u00f3 porque despu\u00e9s de la eliminaci\u00f3n, el autor de atomicwrites no pudo cargar las versiones antiguas, que solo se pudieron restaurar al d\u00eda siguiente tras la intervenci\u00f3n de los administradores de PyPI. Despu\u00e9s de lo sucedido, el autor del paquete decidi\u00f3 dejar de desarrollar atomicwrites y clasificar el paquete como obsoleto. Como raz\u00f3n se menciona que desarrolla el proyecto como un pasatiempo en su tiempo libre y que la aparici\u00f3n de requisitos adicionales que complican el trabajo no justifican el tiempo gastado en el mantenimiento gratuito de un paquete con tanta popularidad. El autor de atomicwrites afirma que preferir\u00eda simplemente escribir c\u00f3digo por diversi\u00f3n y que la preocupaci\u00f3n por la protecci\u00f3n adicional contra la captura por parte de actores maliciosos podr\u00eda asumirse cuando hay una compensaci\u00f3n por ello. <\/p>\n
La biblioteca atomicwrites contiene alrededor de 200 l\u00edneas de c\u00f3digo y ofrece funciones para la escritura at\u00f3mica de archivos. Como alternativa, se pueden usar las llamadas est\u00e1ndar os.replace y os.rename (la operaci\u00f3n se reduce a escribir en un archivo con un nombre temporal y renombrar al archivo de destino una vez que est\u00e9 listo). \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"