{"id":120574,"date":"2024-11-15T01:09:07","date_gmt":"2024-11-14T23:09:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov"},"modified":"2024-11-15T01:09:07","modified_gmt":"2024-11-14T23:09:08","slug":"katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","title":{"rendered":"Le catalogue PyPI a introduit un nouveau syst\u00e8me de v\u00e9rification de l'authenticit\u00e9 des paquets","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les d\u00e9veloppeurs du d\u00e9p\u00f4t de paquets Python, PyPI (Python Package Index), ont annonc\u00e9 l'introduction d'un m\u00e9canisme de certification num\u00e9rique pour v\u00e9rifier l'authenticit\u00e9 des paquets publi\u00e9s, rempla\u00e7ant ainsi la v\u00e9rification via des signatures PGP. La principale distinction de cette certification est que la publication d'un paquet est valid\u00e9e non par le d\u00e9veloppeur, mais par un tiers (le catalogue de paquets) apr\u00e8s v\u00e9rification de l'authenticit\u00e9 de la publication par un fournisseur externe d'OpenID Connect (par exemple, apr\u00e8s avoir v\u00e9rifi\u00e9 que le paquet publi\u00e9 correspond \u00e0 son d\u00e9p\u00f4t associ\u00e9 sur GitHub ou GitLab). <\/p>\n

Le syst\u00e8me d'attestation supprime les d\u00e9fauts inh\u00e9rents au m\u00e9canisme de v\u00e9rification par signatures PGP, qui avait auparavant \u00e9t\u00e9 d\u00e9clar\u00e9 obsol\u00e8te sur PyPI. Cette d\u00e9cision a \u00e9t\u00e9 prise en raison des probl\u00e8mes li\u00e9s \u00e0 la v\u00e9rification de l'appartenance des d\u00e9veloppeurs aux cl\u00e9s PGP publiques utilis\u00e9es pour v\u00e9rifier les signatures num\u00e9riques \u2014 sur 1069 cl\u00e9s PGP utilis\u00e9es depuis 2020 pour la formation de signatures sur PyPI, 29 % des cl\u00e9s publiques \u00e9taient absentes sur les grandes plateformes publiques. serveurs<\/a> Quant aux cl\u00e9s, 35 % d'entre elles se sont av\u00e9r\u00e9es impossibles \u00e0 confirmer lors de l'audit. Au total, les 36 % de cl\u00e9s PGP confirm\u00e9es ne couvraient que 0,3 % de tous les fichiers sign\u00e9s. <\/p>\n

Dans le nouveau syst\u00e8me, les signatures utilis\u00e9es pour garantir les paquets sont cr\u00e9\u00e9es \u00e0 l'aide de cl\u00e9s \u00e9ph\u00e9m\u00e8res \u00e0 courte dur\u00e9e de vie, g\u00e9n\u00e9r\u00e9es sur la base des autorisations valid\u00e9es par des fournisseurs d'OpenID Connect. Au moment de la g\u00e9n\u00e9ration des cl\u00e9s n\u00e9cessaires \u00e0 la cr\u00e9ation de la signature num\u00e9rique, le d\u00e9veloppeur s'identifie via un fournisseur OpenID, qui confirme son lien avec le projet principal. L'infrastructure pour la certification num\u00e9rique est construite \u00e0 l'aide du syst\u00e8me Sigstore et du cadre d'attestation in-toto. <\/p>\n

Parmi les avantages de l'attestation, on note l'absence de lien avec des cl\u00e9s PGP permanentes \u2014 la perte ou la compromission d'une cl\u00e9 priv\u00e9e d\u00e9truit la confiance envers les signatures cr\u00e9\u00e9es sur cette base, tandis qu'avec l'attestation, la signature est form\u00e9e en liaison avec un token confirmant les autorisations au moment de la publication du package et le lien entre le package et le d\u00e9p\u00f4t principal contenant le code. Par exemple, lors de la publication d'un package pr\u00e9par\u00e9 via GitHub Action, l'attestation d\u00e9termine le lien v\u00e9rifiable et valid\u00e9 entre le fichier publi\u00e9 sur PyPI, le d\u00e9p\u00f4t, le processus de workflow et le hachage du commit sur lequel le package a \u00e9t\u00e9 form\u00e9.

\"Le<\/center> <\/p>\n

Pour suivre l'authenticit\u00e9 des cl\u00e9s et d\u00e9tecter d'\u00e9ventuelles compromissions, un registre public centralis\u00e9 est utilis\u00e9 pour la formation des packages de projets et de PyPI lui-m\u00eame, afin d'assurer l'int\u00e9grit\u00e9 et de prot\u00e9ger contre la falsification des donn\u00e9es a posteriori, impliquant une structure de \u00ab arbre de Merkle \u00bb (Merkle Tree, chaque branche v\u00e9rifiant toutes les branches inf\u00e9rieures et les n\u0153uds gr\u00e2ce au hachage en arbre). <\/p>\n

Il convient \u00e9galement de noter la d\u00e9tection dans le catalogue PyPI d'un paquet malveillant appel\u00e9 \u00ab fabrice \u00bb, qui se dissimulait derri\u00e8re un typage nomm\u00e9s (assignment de noms similaires, diff\u00e9rant par quelques symboles, par exemple, exampl au lieu de example, djangoo au lieu de django, pyhton au lieu de python, etc.) sous une biblioth\u00e8que populaire \u00ab fabric \u00bb, qui compte 201 millions de t\u00e9l\u00e9chargements (7 millions de t\u00e9l\u00e9chargements le mois dernier). Le paquet malveillant \u00e9tait pass\u00e9 inaper\u00e7u depuis 2021 et avait depuis \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9 plus de 37 000 fois. <\/p>\n

Le package «fabrice» r\u00e9pliquait la fonctionnalit\u00e9 de base de la biblioth\u00e8que d'origine et incluait en outre du code pour d\u00e9tecter et envoyer sur des h\u00f4tes externes des cl\u00e9s d'acc\u00e8s \u00e0 AWS (Amazon Web Services), installer un backdoor et ex\u00e9cuter certains scripts. L'activation des composants malveillants se produisait sous Linux et Windows. Sous Linux, les fichiers li\u00e9s \u00e0 l'activit\u00e9 malveillante \u00e9taient t\u00e9l\u00e9charg\u00e9s dans le r\u00e9pertoire ~\/.local\/bin\/vscode.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PGP-\u043f\u043e\u0434\u043f\u0438\u0441\u0435\u0439. \u041a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u043e\u0442\u043b\u0438\u0447\u0438\u0435\u043c \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 \u0437\u0430\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c, \u0430 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043b\u0438\u0446\u043e\u043c (\u043a\u0430\u0442\u0430\u043b\u043e\u0433\u043e\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432) \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u043e\u0432\u0435\u0440\u043d\u043e\u0441\u0442\u0438 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u0430 OpenID Connect (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120575,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120574","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Le r\u00e9pertoire PyPI a introduit un nouveau syst\u00e8me de v\u00e9rification de l'authenticit\u00e9 des paquets | ProHoster","description":"Les d\u00e9veloppeurs du d\u00e9p\u00f4t de paquets Python PyPI (Python Package Index) ont annonc\u00e9 l'introduction d'un m\u00e9canisme d'attestation num\u00e9rique pour v\u00e9rifier l'authenticit\u00e9 des paquets publi\u00e9s, qui remplace la v\u00e9rification avec.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u0442\u0430\u043b\u043e\u0433 PyPI \u0432\u043d\u0435\u0434\u0440\u0438\u043b \u043d\u043e\u0432\u0443\u044e \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 | ProHoster","og:description":"\u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Python-\u043f\u0430\u043a\u0435\u0442\u043e\u0432 PyPI (Python Package Index) \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0438 \u043e \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0438 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0446\u0438\u0444\u0440\u043e\u0432\u043e\u0439 \u0430\u0442\u0442\u0435\u0441\u0442\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u043e\u0434\u043b\u0438\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0448\u043b\u0430 \u043d\u0430 \u0441\u043c\u0435\u043d\u0443 \u0432\u0435\u0440\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/katalog-pypi-vnedril-novuyu-sistemu-proverki-podlinnosti-paketov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-11-14T23:09:08+00:00","article:modified_time":"2024-11-14T23:09:08+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120574","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:02:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:02:22","updated":"2026-01-23 08:02:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/120574","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=120574"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/120574\/revisions"}],"predecessor-version":[{"id":164444,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/120574\/revisions\/164444"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/120575"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=120574"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=120574"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=120574"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}