A Python csomagokat kezelő PyPI fejlesztői közzétették a kötelező kéttényezős hitelesítés bevezetésének tervét a kritikus fontosságú csomagok számára. A kritikus fontosságot a letöltések száma alapján határozzák meg, és a változás a kísérői és a projektek tulajdonosainak fiókjaira vonatkozik, amelyek a letöltések számát tekintve a legjobban 1%-át képviselik az elmúlt 6 hónapban. Tekintettel arra, hogy a PyPI jelenleg több mint 350 ezer csomagot tartalmaz, körülbelül 3500 csomagra fogják alkalmazni a kéttényezős hitelesítést. A fiók ellenőrzésére elkészítettek egy külön oldalt. A kötelező kéttényezős hitelesítés pontos időpontját még nem határozták meg, de várható, hogy ez a következő hónapokban megvalósul.
A RubyGems, NPM és GitHub kéttényezős hitelesítésének bevezetésével ellentétben a PyPI esetében kezdetben egy olyan rendszert vezetnek be, amely azt javasolja, hogy hardveres tokent használjanak hozzáférési kulcsokkal. A tokenek és a WebAuthn protokoll ajánlott használatának oka a generálható egyszer használatos jelszavakkal szembeni nagyobb biztonság. (A TOTP használata tokeneken keresztül opcióként lesz elérhető.)
A tokeneket ingyenesen lehet majd megszerezni – a Google támogatta az iniciatívát, és 4000 Titan kulcsot biztosított a projekt számára. Minden kísérő ingyenesen kérheti két USB-C vagy USB-A interfészű token beszerzését. A második tokent biztonsági másolatként küldik el az első elvesztése vagy meghibásodása esetére, hogy minimalizálják a hozzáférés elvesztésének kockázatát és megszabadítsák a fejlesztőket a hozzáférés helyreállításának bonyolult eljárásától.
Sajnos, a tokenokat csak Ausztriába, Belgiumba, Kanadába, Franciaországba, Németországba, Olaszországba, Japánba, Spanyolországba, Svájcba, az Egyesült Királyságba és az Egyesült Államokba lehet küldeni. Más országokban a kísérők önállóan vásárolhatnak a FIDO U2F specifikációval kompatibilis tokeneket, például a Yubikey és Thetis tokenek megfelelőek. Alternatívaként elérhető a tokenek helyett az egy alkalmas jelszavakon alapuló hitelesítő alkalmazások használata, amelyek támogatják a TOTP protokollt, mint például az Authy, a Google Authenticator és a FreeOTP.
Az kezdeményezés nem zajlott le incidens nélkül. Az Atomicwrites csomag szerzője, amely havi 6 millió letöltést és 38 milliót hat hónap alatt generál, nem kívánta aktiválni a kétfaktoros hitelesítést, és annak érdekében, hogy a csomagját kizárja a kritikus fontosságú listából, megpróbálta nullázni a letöltési számlálót. A nullázáshoz először törölte a csomagot, majd feltöltött egy új verziót. Várták, hogy az ilyen manipuláció csak a számlálót nullázza, de a fejlesztő meglepetésére az összes régi verzió is törlésre került a tárolóból, ami problémákat okozott a könyvtárra támaszkodó projektekben, amelyeket néhány fejlesztő a NPM left-pad csomag törlésével kapcsolatos incidenshez hasonlított.
A probléma súlyosbodott azzal, hogy a szerző az atomicwrites törlése után nem tudta feltölteni a régi verziókat, amelyeket csak másnap tudtak helyreállítani a PyPI adminisztrátorai beavatkozása után. A történtek után a csomag szerzője úgy döntött, hogy megszünteti az atomicwrites fejlesztését és a csomagot elavultnak minősíti. Az indoklás szerint azt említette, hogy a projektet hobbiként, szabadidőben fejleszti, és a kiegészítő követelmények, amelyek megnehezítik a munkát, nem érik meg az ingyenes támogatásra fordított időt, tekintettel a népszerűségére. Az atomicwrites szerzője azt állítja, hogy inkább csak kódot szeretne írni szórakozásból, a támadók általi elfogás elleni kiegészítő védelem gondjait pedig inkább a fizetett szolgáltatásokra bízná.
Az atomicwrites könyvtár körülbelül 200 kódsort tartalmaz, és funkciókat kínál fájlok atomikus írásához. Alternatívaként használhatók a beépített os.replace és os.rename hívások (a művelet azzal áll össze, hogy ideiglenes néven írást végez a fájlban, majd átnevezi a célnévre, amikor készen áll).
Forrás: opennet.ru
