PyPI-s on rakendatud võimalus pakette avaldada, ilma et oleks vaja paroole ja API tokeneid.

Python pakettide hoidlas PyPI (Python Package Index) on tutvustatud uut kaitstud meetodit pakettide avaldamiseks, mis võimaldab vältida kindlate paroolide ja API juurdepääsu tokenite hoidmist välistes süsteemides (näiteks GitHub Actions). Uus autentimise meetod kannab nime 'Trusted Publishers' ja on loodud selgitama probleemi, mis on seotud pahatahtlike uuendustega, mis toimuvad väliste süsteemide kompromiteerimise ja ettenähtud paroolide või tokenite langemise tõttu kurjategijate kätesse.

Uus autentimise meetod põhineb OpenID Connect (OIDC) standardi kasutamisel, mis eeldab lühiajaliste autentimise tokenite kasutamist, mida vahetavad välised teenused ja PyPI kataloog, et kinnitada paketi avaldamise tehingut, selle asemel et kasutada traditsioonilisi sisselogimise/parooli kombinatsioone või käsitsi genereeritud püsivate API juurdepääsu tokenite kasutamist. 'Trusted Publishers' mehhanismi toetamist on juba rakendatud töötlejate jaoks, mis töötavad GitHub Actionsis. Tulevikus oodatakse 'Trusted Publishers' toetuse rakendamist ka teistele välistest teenustest.

Saadetavad paketid saavad PyPI-s määrata usaldusväärsusmärkmeid, mis on seotud väliste OpenID (IdP, OpenID Connect Identity Provider) pakkujate poolt esitatud identifikaatoritega, mida väline teenus kasutab PyPI-lt lühiajaliste tokenite küsimiseks. Generaatorid OpenID Connect tokenid kinnitavad seose projekti ja töötluse vahel, võimaldades PyPI-l teostada täiendavat metaandmete valideerimist, näiteks kontrollida, et avaldatav paket vastab teatud hoidlatele. Tokenid ei salvestata, need on seotud kindlate API-dega ja lõpetavad automaatselt kehtivuse pärast lühikese eluea möödumist.

Samuti tasub märkida Sonatype'i aruannet, milles teatas märtsis 2023 avastatud 6933 pahatahtlikust paketist PyPI kataloogis. Alates 2019. aastast on PyPI-s avastatud kokku üle 115 000 pahatahtliku paketi. Suur osa pahatahtlikest pakettidest varjub tuntud raamatukogude all, kasutades tüübi peitmist (sarnaste nimede määramine, mis erinevad üksikute sümbolite poolest, näiteks exampl selle asemel, et example, djangoo selle asemel, et django, pyhton selle asemel, et python jne) — kurjategijad loodavad tähelepanematute kasutajate peale, kes teevad trükkimisvigu või ei märka otsingus nimede erinevusi. Pahatahtlikud toimingud piirduvad tavaliselt konfidentsiaalsete andmete saatmisega, mis leiti kohalikult süsteemilt, kui tuvastatakse tüüpilisi faile, mis sisaldavad paroole, pääsukoodide võtmeid, krüptokotte, tokeneid, seanssi küpsiseid ja muud konfidentsiaalset teavet.

Allikas: opennet.ru