Razvijači repozitorija Python paketa PyPI (Python Package Index) najavili su uvođenje obavezne dvofaktorske autentifikacije za sve korisnike. Bez uključene dvofaktorske autentifikacije korisnik više neće moći učitavati datoteke i obavljati radnje vezane za upravljanje svojim projektom. Ranije je dvofaktorska autentifikacija bila obavezna za račune korisnika koji prate barem jedan projekt ili pripadaju kuratorskim paketima organizacije.
Primjena dvofaktorske autentifikacije omogućit će jačanje sigurnosti procesa razvoja i zaštitu projekata od uvodjenja zloćudnih promjena uslijed curenja podataka s računa, korištenja istog lozinke na kompromitiranoj web stranici, hakiranja lokalnog sustava programera ili korištenja metoda socijalnog inženjeringa. Pristup zloćudnika od strane preuzimanja računa jedna je od najopasnijih prijetnji, jer u slučaju uspješnog napada može doći do ubacivanja zloćudnih promjena u druge proizvode i biblioteke koje koriste kompromitirani paket kao ovisnost.
Kao preferencijalna metoda dvofaktorske autentifikacije izjavljena je shema bazirana na kompatibilnim s FIDO U2F specifikacijom hardverskim tokenima i WebAuthn protokolom, koja omogućuje postizanje višeg nivoa sigurnosti u odnosu na generiranje jednokratnih lozinki. Osim tokena, mogu se koristiti i aplikacije za autentifikaciju na temelju jednokratnih lozinki, koje podržavaju TOTP protokol, kao što su Authy, Google Authenticator i FreeOTP. Prilikom učitavanja paketa programerima se dodatno preporučuje prelazak na korištenje metode autentifikacije 'Trusted Publishers' zasnovane na OpenID Connect (OIDC) standardu ili korištenje API tokena.
Izvor: opennet.ru
