Python-pakettide hoidla PyPI (Python Package Index) arendajad on lisanud sisenemise ajal täiendava kontrollimeetodi, mis nõuab e-posti kinnitust, kui sisenetakse seadmega või brauseriga, millega varem ei ole sisse logitud. Kinnitamist nõutakse koos olemasoleva kahefaktorilise autentimisega, mis nõuab ühekordse parooli sisestamist (TOTP — ajapõhine ühekordne parool) tavapäraste sisselogimise andmete kõrval. Kui kasutatakse kahefaktorilise autentimise teise etapina WebAuthn või Passkeys baasil põhinevaid võtmeid, ei nõuta täiendavat e-posti kinnitust.
Uue kontrolli lisamise põhjuseks on väidetud kaitse parandamine phishingu eest. Viimasel ajal on ründajad hakanud ründama kahefaktorilise autentimise kaitset, kasutades läbipaistvat liiklustunnelit fistingulehtedelt tõelise pypi.org lehe suunas, mistõttu kasutajale tundub, et ta töötab tegeliku PyPI kataloogiga. Sisenemise lehte jälgivad ka ründajad ning nad kontrollivad mitte ainult algselt sisestatud sisenemispersoone, vaid ka vastust teise faasi autentimise kontrollimisele.
Lisakinnitus uus seadme sisenemise katse teavitamiseks väldib TOTP-koodi ja parooli katkeid, samuti hoiatab arendajaid, kes seadmeid pole vahetanud. Ründajad võivad liikluse kaudu püüda kinni kontoparametreid ja sisestatud ühekordset TOTP-koodi, kuid nad ei saa mõjutada e-posti kinnitust, mis nõuab klõpsamist kirjas olevas lingis.
Kui kasutaja sai kontrollimise e-kirja, kuid ei üritanud PyPI katalooge sisse logida, siis ei tohi lingile minna. Kui sisenemise katse toimus, kuid seade ei muutunud, tuleb kontrollida, kas sisenemine toimus phishingu lehe kaudu ja juhul, kui rünnak tuvastatakse, tuleb koheselt parooli vahetada ja konto tegevus üle vaadata.
Allikas: opennet.ru
