Python-pakettide PyPI hoidla arendajad avaldasid plaani kohustusliku kahesammulise autentimise rakendamiseks kriitiliselt oluliste pakettide jaoks. Olulisus m\u00e4\u00e4ratakse allalaadimiste arvu j\u00e4rgi ja muudatus rakendatakse 1% toimetajatest ja projektide omanike kontodele, mis on seotud kuue kuu jooksul suurima allalaadimiste arvuga pakettidega. Arvestades, et praeguseks sisaldab PyPI register \u00fcle 350 000 paketi, rakendatakse kahesammuline autentimine umbes 3500 paketile. Konto kontrollimiseks on loodud spetsiaalne leht. T\u00e4pne kuup\u00e4ev kohustusliku kahesammulise autentimise rakendamiseks veel ei ole m\u00e4\u00e4ratud, kuid eeldatakse, et see toimub l\u00e4hikuudel. <\/p>\n
Erinevalt RubyGems, NPM ja GitHubi kahesammulise autentimise rakendamisest, rakendatakse PyPI-s algselt skeemi, mis h\u00f5lmab soovitatavat riistvara tokeniga, mis sisaldab juurdep\u00e4\u00e4suv\u00f5tmeid. Soovitatud tokenite ja WebAuthni protokolli kasutamise p\u00f5hjuseks on k\u00f5rgem turvalisus v\u00f5rreldes \u00fchekordsete paroolide genereerimisega (TOTP-de kasutamine tokenite asemel on saadaval valikuna). <\/p>\n
Tokenid saab tasuta - Google on algatuse sponsor ja eraldas projektile 4000 Titan v\u00f5tme. Iga saatja saab taotleda tasuta kahte USB-C v\u00f5i USB-A liidesega tokenit. Teine token saadetakse varuna, et v\u00e4ltida peamise seadme rikke v\u00f5i kaotsiminekut, v\u00e4hendades juurdep\u00e4\u00e4sukaotuse riski ja vabastades arendajad keerulistest taastamisprotseduuridest. <\/p>\n
Kahjuks saab antud tokenid edastada ainult Austriasse, Belgiasse, Kanadasse, Prantsusmaale, Saksamaale, Itaaliasse, Jaapanisse, Hispaaniasse, \u0160veitsi, \u00dchendkuningriiki ja Ameerika \u00dchendriikidesse. Teised riigid saavad ise osta FIDO U2F spetsifikatsiooniga \u00fchilduvaid tokenid, nagu n\u00e4iteks Yubikey ja Thetis. Alternatiivina on ka v\u00f5imalus kasutada autentimisrakendusi, mis toetavad TOTP protokolli, n\u00e4iteks Authy, Google Authenticator ja FreeOTP. <\/p>\n
Algatus ei m\u00f6\u00f6dunud ilma juhtumi. Atomicwrites paketi autor, millel on kuus miljonit allalaadimist kuus ja 38 miljonit kuue kuu jooksul, ei soovinud \u00fcleminekut kahefaktorilisele autentimisele ning \u00fcritas oma paketti kriitiliselt olulisest nimekirjast eemaldada, l\u00e4htudes allalaadimiste arvu nullimisest. Ta kustutas esmalt paketi ja laadis siis \u00fcles uue versiooni. Oodati, et selline manipuleerimine nullib lihtsalt allalaadimiste arvu, kuid arendaja \u00fcllatuseks kustutati ka k\u00f5ik vanad versioonid, mis tekitas probleeme raamatukoguga s\u00f5ltuvuses olevates projektides, mida m\u00f5ned arendajad v\u00f5rdsustasid left-pad paketi kustutamisega NPM-is toimunud juhtumiga. <\/p>\n
Probleem s\u00fcvenes veelgi, kuna p\u00e4rast kustutamist ei suutnud atomicwrites autor vanu versioone \u00fcles laadida, mis \u00f5nnestus taastada alles j\u00e4rgmisel p\u00e4eval p\u00e4rast PyPI administraatorite sekkumist. P\u00e4rast juhtunut otsustas paketi autor l\u00f5petada atomicwrites arendamise ja teha loodi paketist vananenud. P\u00f5hjuseks toodi v\u00e4lja, et ta arendab projekti hobi korras oma vabal ajal ning t\u00e4iendavate n\u00f5udmiste ilmumine, mis muudavad t\u00f6\u00f6 keeruliseks, ei ole ajakulu v\u00e4\u00e4rt, mis on vajalik sellise populaarsusega tasuta paketi hooldamiseks. Atomicwrites autor v\u00e4idab, et ta eelistaks lihtsalt koodi kirjutada l\u00f5bu p\u00e4rast, ning t\u00e4iendava kaitse eest kurjategijate sekkumise vastu saab hoolitseda siis, kui selle eest makstakse. <\/p>\n