Le d\u00e9p\u00f4t de paquets Python PyPI (Python Package Index) propose un nouveau m\u00e9thode s\u00e9curis\u00e9 pour la publication de paquets, permettant d'\u00e9viter le stockage de mots de passe fixes et de tokens d'acc\u00e8s API sur des syst\u00e8mes externes (par exemple, dans GitHub Actions). Cette nouvelle m\u00e9thode d'authentification est appel\u00e9e \u00ab Trusted Publishers \u00bb et vise \u00e0 r\u00e9soudre le probl\u00e8me de la publication de mises \u00e0 jour malveillantes r\u00e9sultant de la compromission de syst\u00e8mes externes et de l'acc\u00e8s par des acteurs malveillants \u00e0 des mots de passe ou tokens pr\u00e9d\u00e9finis. <\/p>\n
La nouvelle m\u00e9thode d'authentification est bas\u00e9e sur l'utilisation de la norme OpenID Connect (OIDC), qui utilise des tokens d'authentification \u00e0 dur\u00e9e limit\u00e9e, \u00e9chang\u00e9s entre des services externes et le d\u00e9p\u00f4t PyPI pour valider l'op\u00e9ration de publication de paquets au lieu des traditionnels identifiants\/mots de passe ou des tokens d'acc\u00e8s API g\u00e9n\u00e9r\u00e9s manuellement. Le m\u00e9canisme \u00ab Trusted Publishers \u00bb a d\u00e9j\u00e0 \u00e9t\u00e9 mis en \u0153uvre pour les actions ex\u00e9cut\u00e9es dans GitHub Actions. Un support pour Trusted Publishers est envisag\u00e9 \u00e0 l'avenir pour d'autres services externes. <\/p>\n
Les paquets accompagnateurs peuvent, du c\u00f4t\u00e9 de PyPI, \u00e9tablir un indicateur de confiance pour les identifiants fournis par des fournisseurs externes OpenID (IdP, OpenID Connect Identity Provider), que le service externe utilisera pour demander des jetons \u00e9ph\u00e9m\u00e8res aupr\u00e8s de PyPI. Les jetons g\u00e9n\u00e9r\u00e9s par OpenID Connect confirment le lien entre le projet et le gestionnaire, permettant \u00e0 PyPI d'effectuer une v\u00e9rification suppl\u00e9mentaire des m\u00e9tadonn\u00e9es, par exemple en s'assurant que le paquet publi\u00e9 est li\u00e9 \u00e0 un d\u00e9p\u00f4t sp\u00e9cifique. Les jetons ne sont pas stock\u00e9s, sont li\u00e9s \u00e0 des API sp\u00e9cifiques et expirent automatiquement apr\u00e8s une courte dur\u00e9e de vie. <\/p>\n
On peut \u00e9galement mentionner le rapport de l'entreprise Sonatype, qui indique avoir d\u00e9tect\u00e9 en mars 2023, 6933 paquets malveillants dans le d\u00e9p\u00f4t PyPI. Depuis 2019, le nombre total de paquets malveillants identifi\u00e9s dans PyPI a d\u00e9pass\u00e9 115 000. La plupart des paquets malveillants se cachent sous des biblioth\u00e8ques populaires gr\u00e2ce \u00e0 des attaques par typage (attribution de noms similaires, ne diff\u00e9rant que par quelques caract\u00e8res, par exemple, exampl au lieu de example, djangoo au lieu de django, pyhton au lieu de python, etc.) \u2014 les malfaiteurs comptent sur l'inattention des utilisateurs qui tapent incorrectement ou qui ne remarquent pas les diff\u00e9rences de nom lors de leur recherche. Les actions malveillantes consistent g\u00e9n\u00e9ralement \u00e0 envoyer des donn\u00e9es sensibles trouv\u00e9es sur le syst\u00e8me local, apr\u00e8s avoir identifi\u00e9 des fichiers de type contenant des mots de passe, des cl\u00e9s d'acc\u00e8s, des portefeuilles cryptographiques, des tokens, des cookies de session et d'autres informations confidentielles. \u0412 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u0433\u043e \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u043e\u0433\u043e \u043c\u0435\u0442\u043e\u0434\u0430 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u043e\u0431\u043e\u0439\u0442\u0438\u0441\u044c \u0431\u0435\u0437 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043d\u0430 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432 GitHub Actions) \u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u0440\u043e\u043b\u0435\u0439 \u0438 \u0442\u043e\u043a\u0435\u043d\u043e\u0432 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a API. \u041d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 ‘Trusted Publishers’ \u0438 \u043f\u0440\u0438\u0437\u0432\u0430\u043d \u0440\u0435\u0448\u0438\u0442\u044c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443 \u0441 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0435\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0445 \u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0441\u0438\u0441\u0442\u0435\u043c \u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-108047","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47PyPI permet la publication de paquets sans lien avec des mots de passe et des jetons API | ProHoster","description":"Le d\u00e9p\u00f4t de paquets Python PyPI (Python Package Index) offre la possibilit\u00e9 d'utiliser une nouvelle m\u00e9thode de publication s\u00e9curis\u00e9e des paquets, permettant de ne pas avoir \u00e0 les stocker sur des syst\u00e8mes externes (par exemple, dans.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-pypi-realizovana-vozmozhnost-publikaczii-paketov-bez-privyazki-k-parolyam-i-tokenam-api","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 PyPI \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u0430 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0431\u0435\u0437 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0438 \u043a \u043f\u0430\u0440\u043e\u043b\u044f\u043c \u0438 \u0442\u043e\u043a\u0435\u043d\u0430\u043c API | ProHoster","og:description":"\u0412 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0430 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u044f \u043d\u043e\u0432\u043e\u0433\u043e \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u043e\u0433\u043e \u043c\u0435\u0442\u043e\u0434\u0430 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0433\u043e \u043e\u0431\u043e\u0439\u0442\u0438\u0441\u044c \u0431\u0435\u0437 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043d\u0430 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0432.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-pypi-realizovana-vozmozhnost-publikaczii-paketov-bez-privyazki-k-parolyam-i-tokenam-api","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-04-23T10:48:18+00:00","article:modified_time":"2023-04-24T08:41:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/108047","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=108047"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/108047\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=108047"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=108047"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=108047"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"