A Python-csomagok PyPI (Python Package Index) tárolója új, biztonságos csomagkiadási módszert kínál, amely lehetővé teszi a fix jelszavak és API-hozzáférési tokenek külső rendszerekben (például GitHub Action-ökben) történő tárolásának elkerülését. Az új hitelesítési módszert 'Trusted Publishers'-nek nevezték el, és célja a külső rendszerek kompromittálása és a rosszindulatú frissítések közzétételének problémájának megoldása, amelyek a meghatározott jelszavak vagy tokenek rossz kezekbe kerüléséből fakadnak.
Az új hitelesítési módszer az OpenID Connect (OIDC) szabványra épül, amely korlátozott ideig érvényes hitelesítési tokenek használatát jelenti, amelyeket külső szolgáltatások és a PyPI könyvtár cserélnek a csomag kiadási művelet megerősítése érdekében, a hagyományos felhasználónév/jelszó vagy manuálisan generált állandó API-tokenek használata helyett. A 'Trusted Publishers' mechanizmus már megvalósult GitHub Actions környezeti kezelőivel. A jövőben várható a Trusted Publishers támogatása más külső szolgáltatások számára is.
A kísérő csomagok a PyPI oldalán bizalmi jelet állíthatnak ki a külső OpenID szolgáltatók (IdP, OpenID Connect Identity Provider) által biztosított azonosítókhoz, amelyeket a külső szolgáltatás használ a PyPI-nél rövid élettartamú tokenek kérésére. Az OpenID Connect tokenek igazolják a projekt és a kezelő közötti kapcsolatot, lehetővé téve a PyPI számára a metaadatok további ellenőrzését, például annak biztosítását, hogy a közzétett csomag megfelel egy adott tárolónak. A tokenek nem kerülnek tárolásra, bizonyos API-hoz kötődnek, és automatikusan érvényüket vesztik a rövid élettartam után.
Megemlíthető, hogy a Sonatype jelentése szerint 2023 márciusában 6933 rosszindulatú csomagot azonosítottak a PyPI katalógusában. 2019 óta összesen több mint 115 ezer rosszindulatú csomagot találtak a PyPI-ban. A rosszindulatú csomagok többsége népszerű könyvtárak álcázásával rejtőzik el, amely a típusnevek megzavarásával történik (például hasonló nevű csomagok, melyekben eltérő karakterek vannak, mint például exampl helyett example, djangoo helyett django, pyhton helyett python stb.) — a támadók a figyelmetlen felhasználókra számítanak, akik elgépelnek vagy nem veszik észre a különbségeket a nevekben keresés közben. A rosszindulatú tevékenységek általában a lokális rendszeren található, a jelszavakat, hozzáférési kulcsokat, kriptopénztárcákat, tokeneket, munkameneti sütiket és egyéb érzékeny információkat tartalmazó tipikus fájlok azonosítása révén a bizalmas adatok elküldésére korlátozódnak.
Forrás: opennet.ru
