Python paketirepositooriumi PyPI (Python Package Index) arendajad on lisanud sisselogimise ajal täiendava kontrolliastme, mis nõuab e-posti kinnitust, kui sisselogimine toimub seadme või brauseri kaudu, millega varem pole sisse logitud. Kinnitust nõutakse lisaks olemasolevale kahefaktorilisele autentimisele, mis nõuab ühekorralise koodi (TOTP — ajapõhine ühekorraline parool) sisestamist tavaliste sisselogimisandmete kõrval. Kui teise autentimise tegurina kasutatakse WebAuthn või Passkeys tehnoloogiaid, siis täiendavat e-posti kinnitust ei nõuta.
Uue kontrolli lisamise põhjuseks on kaitse suurendamine phishingu eest. Viimasel ajal on küberkurjategijad hakanud. kahefaktorilise autentimise kaitset ületama, et rünnata on suundunud rakendama läbipaistvat veebipõhist vahetust pahatahtlike veebilehtede ja tõelise saidi pypi.org vahel, mistõttu kasutajal tekib tunne, nagu töötaks ta tegeliku PyPI kataloogi juures. Sisselogimisleht on samuti vahendatud ja ründajad kontrollivad mitte ainult algselt sisestatud sisselogimise parooli, vaid ka vastust teise autentimise teguri kontrollküsimusele.
Täiendav volituste kinnitamise päring koos hoiatusega sisselogimise katse kohta uuelt seadmel takistab kompromiteerimist TOTP-koodi ja parooli püüdmisel ning annab märku arendajatele, kes pole riistvara vahetanud. Protsessi käigus võivad ründajad interceptida konto parameetreid ja sisestatud TOTP ühekordset koodi, kuid nad ei saa mõjutada e-posti kinnitust, mis nõuab klikki e-kirjas olevale lingile.
Kui kasutaja on saanud kinnitusmeili, kuid ei ole proovinud PyPI kataloogi siseneda, ei tohiks linki avada. Kui sisselogimise katse on olnud, kuid seade ei ole muutunud, tuleb kontrollida, kas sisselogimise katse ei toimunud läbi pahatahtliku saidi, ning rünnaku tuvastamise korral tuleb koheselt parool vahetada ja kontrollida konto aktiivsust.
Allikas: opennet.ru
