La mise en œuvre de l'authentification à deux facteurs dans PyPI a conduit à un incident de suppression d'un package populaire

Les développeurs du dépôt de paquets Python PyPI ont publié un plan de migration vers une authentification à deux facteurs obligatoire pour les paquets classés comme critiques. La criticité est déterminée par le nombre de téléchargements et ce changement sera appliqué aux comptes des mainteneurs et des propriétaires de projets liés à 1 % des paquets les plus téléchargés au cours des 6 derniers mois. Étant donné que le dépôt PyPI comprend actuellement plus de 350 000 paquets, l'authentification à deux facteurs sera appliquée à environ 3 500 paquets. Une page spéciale a été mise en place pour vérifier si votre compte est concerné. La date exacte de l'activation de l'authentification à deux facteurs obligatoire n'a pas encore été déterminée, mais il est prévu que cela se produise dans les mois à venir.

Contrairement à la transition vers l'authentification à deux facteurs des projets RubyGems, NPM et GitHub, PyPI mettra initialement en œuvre un schéma qui privilégie l'utilisation de jetons matériels avec des clés d'accès. La recommandation d'utilisation des jetons et du protocole WebAuthn est justifiée par une sécurité supérieure par rapport à la génération de mots de passe à usage unique (la possibilité d'utiliser TOTP au lieu de jetons sera disponible en option).

Les jetons pourront être obtenus gratuitement — Google a été le sponsor de l'initiative et a alloué 4 000 clés Titan au projet. Chaque mainteneur peut demander deux jetons gratuits avec une interface USB-C ou USB-A. Le deuxième jeton est envoyé en tant que secours en cas de panne ou de perte du principal, afin de minimiser le risque de perte d'accès au dépôt et de libérer les développeurs de la nécessité de passer par un processus compliqué de récupération d'accès.

Malheureusement, les jetons ne peuvent être expédiés qu'en Autriche, en Belgique, au Canada, en France, en Allemagne, en Italie, au Japon, en Espagne, en Suisse, au Royaume-Uni et aux États-Unis. Les mainteneurs d'autres pays peuvent acheter eux-mêmes des jetons compatibles avec la spécification FIDO U2F, tels que les jetons Yubikey et Thetis. En alternative, il est également prévu d'utiliser des applications d'authentification basées sur des mots de passe à usage unique supportant le protocole TOTP, comme Authy, Google Authenticator et FreeOTP.

L'initiative n'a pas été sans incident. L'auteur du paquet Atomicwrites, qui compte 6 millions de téléchargements par mois et 38 millions en 6 mois, a refusé de passer à l'authentification à deux facteurs et a tenté de faire supprimer son paquet de la liste des paquets critiques en réinitialisant le compteur de téléchargements. Pour ce faire, il a d'abord supprimé le paquet, puis a téléchargé une nouvelle version. On s'attendait à ce que cette manipulation ne réinitialise que le compteur, mais, à la surprise du développeur, toutes les anciennes versions ont également été supprimées du dépôt, ce qui a entraîné des problèmes pour les projets dépendants de la bibliothèque, que certains développeurs ont comparés à l'incident dû à la suppression du paquet left-pad dans NPM.

Le problème a été aggravé par le fait qu'après la suppression, l'auteur d'atomicwrites n'a pas pu télécharger les anciennes versions, qui n'ont pu être restaurées que le lendemain, après l'intervention des administrateurs de PyPI. Après ce qui s'est passé, l'auteur du paquet a décidé d'arrêter le développement d'atomicwrites et de mettre le paquet dans la catégorie obsolète. Comme raison, il est mentionné qu'il développe le projet comme un hobby pendant son temps libre et que l'émergence de nouvelles exigences rendant le travail difficile ne justifie pas le temps passé à maintenir gratuitement un paquet aussi populaire. L'auteur d'atomicwrites affirme qu'il préférerait simplement écrire du code pour le plaisir, et que la responsabilité d'une protection supplémentaire contre les attaques malveillantes peut être assumée par ceux qui sont prêts à payer pour cela.

La bibliothèque atomicwrites contient environ 200 lignes de code et propose des fonctions pour l'écriture atomique de fichiers. Les appels standards os.replace et os.rename peuvent être utilisés comme alternatives (l'opération consiste à écrire dans un fichier temporaire et à le renommer en fichier cible une fois terminé).

Source : opennet.ru