A Python csomagokat kezel\u0151 PyPI fejleszt\u0151i k\u00f6zz\u00e9tett\u00e9k a k\u00f6telez\u0151 k\u00e9tt\u00e9nyez\u0151s hiteles\u00edt\u00e9s bevezet\u00e9s\u00e9nek terv\u00e9t a kritikus fontoss\u00e1g\u00fa csomagok sz\u00e1m\u00e1ra. A kritikus fontoss\u00e1got a let\u00f6lt\u00e9sek sz\u00e1ma alapj\u00e1n hat\u00e1rozz\u00e1k meg, \u00e9s a v\u00e1ltoz\u00e1s a k\u00eds\u00e9r\u0151i \u00e9s a projektek tulajdonosainak fi\u00f3kjaira vonatkozik, amelyek a let\u00f6lt\u00e9sek sz\u00e1m\u00e1t tekintve a legjobban 1%-\u00e1t k\u00e9pviselik az elm\u00falt 6 h\u00f3napban. Tekintettel arra, hogy a PyPI jelenleg t\u00f6bb mint 350 ezer csomagot tartalmaz, k\u00f6r\u00fclbel\u00fcl 3500 csomagra fogj\u00e1k alkalmazni a k\u00e9tt\u00e9nyez\u0151s hiteles\u00edt\u00e9st. A fi\u00f3k ellen\u0151rz\u00e9s\u00e9re elk\u00e9sz\u00edtettek egy k\u00fcl\u00f6n oldalt. A k\u00f6telez\u0151 k\u00e9tt\u00e9nyez\u0151s hiteles\u00edt\u00e9s pontos id\u0151pontj\u00e1t m\u00e9g nem hat\u00e1rozt\u00e1k meg, de v\u00e1rhat\u00f3, hogy ez a k\u00f6vetkez\u0151 h\u00f3napokban megval\u00f3sul. <\/p>\n
A RubyGems, NPM \u00e9s GitHub k\u00e9tt\u00e9nyez\u0151s hiteles\u00edt\u00e9s\u00e9nek bevezet\u00e9s\u00e9vel ellent\u00e9tben a PyPI eset\u00e9ben kezdetben egy olyan rendszert vezetnek be, amely azt javasolja, hogy hardveres tokent haszn\u00e1ljanak hozz\u00e1f\u00e9r\u00e9si kulcsokkal. A tokenek \u00e9s a WebAuthn protokoll aj\u00e1nlott haszn\u00e1lat\u00e1nak oka a gener\u00e1lhat\u00f3 egyszer haszn\u00e1latos jelszavakkal szembeni nagyobb biztons\u00e1g. (A TOTP haszn\u00e1lata tokeneken kereszt\u00fcl opci\u00f3k\u00e9nt lesz el\u00e9rhet\u0151.) <\/p>\n
A tokenokat ingyenesen lehet megszerezni \u2014 a Google szponzork\u00e9nt l\u00e9pett fel, \u00e9s 4000 Titan kulcsot k\u00fcl\u00f6n\u00edtett el a projekthez. Minden k\u00eds\u00e9r\u0151 p\u00e1ly\u00e1zhat k\u00e9t USB-C vagy USB-A interf\u00e9szes token ingyenes megszerz\u00e9s\u00e9re. A m\u00e1sodik token tartal\u00e9kk\u00e9nt ker\u00fcl kioszt\u00e1sra, arra az esetre, ha az els\u0151 megs\u00e9r\u00fcl vagy elveszik, hogy minimaliz\u00e1lja a hozz\u00e1f\u00e9r\u00e9s elveszt\u00e9s\u00e9nek kock\u00e1zat\u00e1t, \u00e9s megszabad\u00edtsa a fejleszt\u0151ket a bonyolult helyre\u00e1ll\u00edt\u00e1si elj\u00e1r\u00e1st\u00f3l. <\/p>\n
Sajnos, a tokenokat csak Ausztri\u00e1ba, Belgiumba, Kanad\u00e1ba, Franciaorsz\u00e1gba, N\u00e9metorsz\u00e1gba, Olaszorsz\u00e1gba, Jap\u00e1nba, Spanyolorsz\u00e1gba, Sv\u00e1jcba, az Egyes\u00fclt Kir\u00e1lys\u00e1gba \u00e9s az Egyes\u00fclt \u00c1llamokba lehet k\u00fcldeni. M\u00e1s orsz\u00e1gokban a k\u00eds\u00e9r\u0151k \u00f6n\u00e1ll\u00f3an v\u00e1s\u00e1rolhatnak a FIDO U2F specifik\u00e1ci\u00f3val kompatibilis tokeneket, p\u00e9ld\u00e1ul a Yubikey \u00e9s Thetis tokenek megfelel\u0151ek. Alternat\u00edvak\u00e9nt el\u00e9rhet\u0151 a tokenek helyett az egy alkalmas jelszavakon alapul\u00f3 hiteles\u00edt\u0151 alkalmaz\u00e1sok haszn\u00e1lata, amelyek t\u00e1mogatj\u00e1k a TOTP protokollt, mint p\u00e9ld\u00e1ul az Authy, a Google Authenticator \u00e9s a FreeOTP. <\/p>\n
Az kezdem\u00e9nyez\u00e9s nem zajlott le incidens n\u00e9lk\u00fcl. Az Atomicwrites csomag szerz\u0151je, amely havi 6 milli\u00f3 let\u00f6lt\u00e9st \u00e9s 38 milli\u00f3t hat h\u00f3nap alatt gener\u00e1l, nem k\u00edv\u00e1nta aktiv\u00e1lni a k\u00e9tfaktoros hiteles\u00edt\u00e9st, \u00e9s annak \u00e9rdek\u00e9ben, hogy a csomagj\u00e1t kiz\u00e1rja a kritikus fontoss\u00e1g\u00fa list\u00e1b\u00f3l, megpr\u00f3b\u00e1lta null\u00e1zni a let\u00f6lt\u00e9si sz\u00e1ml\u00e1l\u00f3t. A null\u00e1z\u00e1shoz el\u0151sz\u00f6r t\u00f6r\u00f6lte a csomagot, majd felt\u00f6lt\u00f6tt egy \u00faj verzi\u00f3t. V\u00e1rt\u00e1k, hogy az ilyen manipul\u00e1ci\u00f3 csak a sz\u00e1ml\u00e1l\u00f3t null\u00e1zza, de a fejleszt\u0151 meglepet\u00e9s\u00e9re az \u00f6sszes r\u00e9gi verzi\u00f3 is t\u00f6rl\u00e9sre ker\u00fclt a t\u00e1rol\u00f3b\u00f3l, ami probl\u00e9m\u00e1kat okozott a k\u00f6nyvt\u00e1rra t\u00e1maszkod\u00f3 projektekben, amelyeket n\u00e9h\u00e1ny fejleszt\u0151 a NPM left-pad csomag t\u00f6rl\u00e9s\u00e9vel kapcsolatos incidenshez hasonl\u00edtott. <\/p>\n
A probl\u00e9ma s\u00falyosbodott azzal, hogy a szerz\u0151 az atomicwrites t\u00f6rl\u00e9se ut\u00e1n nem tudta felt\u00f6lteni a r\u00e9gi verzi\u00f3kat, amelyeket csak m\u00e1snap tudtak helyre\u00e1ll\u00edtani a PyPI adminisztr\u00e1torai beavatkoz\u00e1sa ut\u00e1n. A t\u00f6rt\u00e9ntek ut\u00e1n a csomag szerz\u0151je \u00fagy d\u00f6nt\u00f6tt, hogy megsz\u00fcnteti az atomicwrites fejleszt\u00e9s\u00e9t \u00e9s a csomagot elavultnak min\u0151s\u00edti. Az indokl\u00e1s szerint azt eml\u00edtette, hogy a projektet hobbik\u00e9nt, szabadid\u0151ben fejleszti, \u00e9s a kieg\u00e9sz\u00edt\u0151 k\u00f6vetelm\u00e9nyek, amelyek megnehez\u00edtik a munk\u00e1t, nem \u00e9rik meg az ingyenes t\u00e1mogat\u00e1sra ford\u00edtott id\u0151t, tekintettel a n\u00e9pszer\u0171s\u00e9g\u00e9re. Az atomicwrites szerz\u0151je azt \u00e1ll\u00edtja, hogy ink\u00e1bb csak k\u00f3dot szeretne \u00edrni sz\u00f3rakoz\u00e1sb\u00f3l, a t\u00e1mad\u00f3k \u00e1ltali elfog\u00e1s elleni kieg\u00e9sz\u00edt\u0151 v\u00e9delem gondjait pedig ink\u00e1bb a fizetett szolg\u00e1ltat\u00e1sokra b\u00edzn\u00e1. <\/p>\n