Kahesammuline autentimine PyPI-sse toomine põhjustas populaarse paketi kustutamise juhtumi

Python-pakettide PyPI hoidla arendajad avaldasid plaani kohustusliku kahesammulise autentimise rakendamiseks kriitiliselt oluliste pakettide jaoks. Olulisus määratakse allalaadimiste arvu järgi ja muudatus rakendatakse 1% toimetajatest ja projektide omanike kontodele, mis on seotud kuue kuu jooksul suurima allalaadimiste arvuga pakettidega. Arvestades, et praeguseks sisaldab PyPI register üle 350 000 paketi, rakendatakse kahesammuline autentimine umbes 3500 paketile. Konto kontrollimiseks on loodud spetsiaalne leht. Täpne kuupäev kohustusliku kahesammulise autentimise rakendamiseks veel ei ole määratud, kuid eeldatakse, et see toimub lähikuudel.

Erinevalt RubyGems, NPM ja GitHubi kahesammulise autentimise rakendamisest, rakendatakse PyPI-s algselt skeemi, mis hõlmab soovitatavat riistvara tokeniga, mis sisaldab juurdepääsuvõtmeid. Soovitatud tokenite ja WebAuthni protokolli kasutamise põhjuseks on kõrgem turvalisus võrreldes ühekordsete paroolide genereerimisega (TOTP-de kasutamine tokenite asemel on saadaval valikuna).

Tokenid saab tasuta — Google on algatuse sponsor ja eraldanud projekti jaoks 4000 Titan võtme. Iga toimetaja võib taotleda tasuta kahte tokenit USB-C või USB-A liidesega. Teine token saadetakse varuks juhtudel, kui peamine token katki läheb või kaob, et minimeerida juurdepääsu kaotamise riski ja vabastada arendajad keerulisest taastamisprotseduurist.

Kahjuks saab antud tokenid edastada ainult Austriasse, Belgiasse, Kanadasse, Prantsusmaale, Saksamaale, Itaaliasse, Jaapanisse, Hispaaniasse, Šveitsi, Ühendkuningriiki ja Ameerika Ühendriikidesse. Teised riigid saavad ise osta FIDO U2F spetsifikatsiooniga ühilduvaid tokenid, nagu näiteks Yubikey ja Thetis. Alternatiivina on ka võimalus kasutada autentimisrakendusi, mis toetavad TOTP protokolli, näiteks Authy, Google Authenticator ja FreeOTP.

Algatus ei möödunud ilma juhtumi. Atomicwrites paketi autor, millel on kuus miljonit allalaadimist kuus ja 38 miljonit kuue kuu jooksul, ei soovinud üleminekut kahefaktorilisele autentimisele ning üritas oma paketti kriitiliselt olulisest nimekirjast eemaldada, lähtudes allalaadimiste arvu nullimisest. Ta kustutas esmalt paketi ja laadis siis üles uue versiooni. Oodati, et selline manipuleerimine nullib lihtsalt allalaadimiste arvu, kuid arendaja üllatuseks kustutati ka kõik vanad versioonid, mis tekitas probleeme raamatukoguga sõltuvuses olevates projektides, mida mõned arendajad võrdsustasid left-pad paketi kustutamisega NPM-is toimunud juhtumiga.

Probleem süvenes veelgi, kuna pärast kustutamist ei suutnud atomicwrites autor vanu versioone üles laadida, mis õnnestus taastada alles järgmisel päeval pärast PyPI administraatorite sekkumist. Pärast juhtunut otsustas paketi autor lõpetada atomicwrites arendamise ja teha loodi paketist vananenud. Põhjuseks toodi välja, et ta arendab projekti hobi korras oma vabal ajal ning täiendavate nõudmiste ilmumine, mis muudavad töö keeruliseks, ei ole ajakulu väärt, mis on vajalik sellise populaarsusega tasuta paketi hooldamiseks. Atomicwrites autor väidab, et ta eelistaks lihtsalt koodi kirjutada lõbu pärast, ning täiendava kaitse eest kurjategijate sekkumise vastu saab hoolitseda siis, kui selle eest makstakse.

Atomicwrites teek sisaldab umbes 200 rida koodi ja pakub funktsioone failide aatomiseks kirjutamiseks. Asenduseks võib kasutada tavapäraseid os.replace ja os.rename kutsungeid (operatsioon koosneb failist ajutise nimetusega ja sihtfaili ümbernimetamisest pärast selle valmimist).

Allikas: opennet.ru