Les d\u00e9veloppeurs du d\u00e9p\u00f4t de paquets Python PyPI ont publi\u00e9 un plan de migration vers une authentification \u00e0 deux facteurs obligatoire pour les paquets class\u00e9s comme critiques. La criticit\u00e9 est d\u00e9termin\u00e9e par le nombre de t\u00e9l\u00e9chargements et ce changement sera appliqu\u00e9 aux comptes des mainteneurs et des propri\u00e9taires de projets li\u00e9s \u00e0 1 % des paquets les plus t\u00e9l\u00e9charg\u00e9s au cours des 6 derniers mois. \u00c9tant donn\u00e9 que le d\u00e9p\u00f4t PyPI comprend actuellement plus de 350 000 paquets, l'authentification \u00e0 deux facteurs sera appliqu\u00e9e \u00e0 environ 3 500 paquets. Une page sp\u00e9ciale a \u00e9t\u00e9 mise en place pour v\u00e9rifier si votre compte est concern\u00e9. La date exacte de l'activation de l'authentification \u00e0 deux facteurs obligatoire n'a pas encore \u00e9t\u00e9 d\u00e9termin\u00e9e, mais il est pr\u00e9vu que cela se produise dans les mois \u00e0 venir. <\/p>\n
Contrairement \u00e0 la transition vers l'authentification \u00e0 deux facteurs des projets RubyGems, NPM et GitHub, PyPI mettra initialement en \u0153uvre un sch\u00e9ma qui privil\u00e9gie l'utilisation de jetons mat\u00e9riels avec des cl\u00e9s d'acc\u00e8s. La recommandation d'utilisation des jetons et du protocole WebAuthn est justifi\u00e9e par une s\u00e9curit\u00e9 sup\u00e9rieure par rapport \u00e0 la g\u00e9n\u00e9ration de mots de passe \u00e0 usage unique (la possibilit\u00e9 d'utiliser TOTP au lieu de jetons sera disponible en option). <\/p>\n
Les jetons pourront \u00eatre obtenus gratuitement \u2014 la soci\u00e9t\u00e9 Google a soutenu l'initiative en fournissant 4000 cl\u00e9s Titan pour le projet. Chaque accompagnateur peut faire une demande pour obtenir deux jetons avec interface USB-C ou USB-A. Le deuxi\u00e8me jeton est envoy\u00e9 en tant que sauvegarde en cas de panne ou de perte du principal, afin de minimiser le risque de perte d'acc\u00e8s au d\u00e9p\u00f4t et de lib\u00e9rer les d\u00e9veloppeurs de la n\u00e9cessit\u00e9 de passer par un processus complexe de r\u00e9cup\u00e9ration d'acc\u00e8s. <\/p>\n
Malheureusement, les jetons ne peuvent \u00eatre exp\u00e9di\u00e9s qu'en Autriche, en Belgique, au Canada, en France, en Allemagne, en Italie, au Japon, en Espagne, en Suisse, au Royaume-Uni et aux \u00c9tats-Unis. Les mainteneurs d'autres pays peuvent acheter eux-m\u00eames des jetons compatibles avec la sp\u00e9cification FIDO U2F, tels que les jetons Yubikey et Thetis. En alternative, il est \u00e9galement pr\u00e9vu d'utiliser des applications d'authentification bas\u00e9es sur des mots de passe \u00e0 usage unique supportant le protocole TOTP, comme Authy, Google Authenticator et FreeOTP. <\/p>\n
L'initiative n'a pas \u00e9t\u00e9 sans incident. L'auteur du paquet Atomicwrites, qui compte 6 millions de t\u00e9l\u00e9chargements par mois et 38 millions en 6 mois, a refus\u00e9 de passer \u00e0 l'authentification \u00e0 deux facteurs et a tent\u00e9 de faire supprimer son paquet de la liste des paquets critiques en r\u00e9initialisant le compteur de t\u00e9l\u00e9chargements. Pour ce faire, il a d'abord supprim\u00e9 le paquet, puis a t\u00e9l\u00e9charg\u00e9 une nouvelle version. On s'attendait \u00e0 ce que cette manipulation ne r\u00e9initialise que le compteur, mais, \u00e0 la surprise du d\u00e9veloppeur, toutes les anciennes versions ont \u00e9galement \u00e9t\u00e9 supprim\u00e9es du d\u00e9p\u00f4t, ce qui a entra\u00een\u00e9 des probl\u00e8mes pour les projets d\u00e9pendants de la biblioth\u00e8que, que certains d\u00e9veloppeurs ont compar\u00e9s \u00e0 l'incident d\u00fb \u00e0 la suppression du paquet left-pad dans NPM. <\/p>\n
Le probl\u00e8me a \u00e9t\u00e9 aggrav\u00e9 par le fait qu'apr\u00e8s la suppression, l'auteur d'atomicwrites n'a pas pu t\u00e9l\u00e9charger les anciennes versions, qui n'ont pu \u00eatre restaur\u00e9es que le lendemain, apr\u00e8s l'intervention des administrateurs de PyPI. Apr\u00e8s ce qui s'est pass\u00e9, l'auteur du paquet a d\u00e9cid\u00e9 d'arr\u00eater le d\u00e9veloppement d'atomicwrites et de mettre le paquet dans la cat\u00e9gorie obsol\u00e8te. Comme raison, il est mentionn\u00e9 qu'il d\u00e9veloppe le projet comme un hobby pendant son temps libre et que l'\u00e9mergence de nouvelles exigences rendant le travail difficile ne justifie pas le temps pass\u00e9 \u00e0 maintenir gratuitement un paquet aussi populaire. L'auteur d'atomicwrites affirme qu'il pr\u00e9f\u00e9rerait simplement \u00e9crire du code pour le plaisir, et que la responsabilit\u00e9 d'une protection suppl\u00e9mentaire contre les attaques malveillantes peut \u00eatre assum\u00e9e par ceux qui sont pr\u00eats \u00e0 payer pour cela. <\/p>\n