{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"L'introduzione dell'autenticazione a due fattori in PyPI ha portato a un incidente con la rimozione di un pacchetto popolare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli sviluppatori del repository dei pacchetti Python PyPI hanno pubblicato un piano per l'implementazione obbligatoria dell'autenticazione a due fattori per i pacchetti considerati critici. La loro importanza \u00e8 determinata dal numero di download e la modifica sar\u00e0 applicata agli account dei manutentori e dei proprietari dei progetti associati all'1% dei pacchetti con il maggior numero di download negli ultimi 6 mesi. Considerando che attualmente il repository PyPI include oltre 350.000 pacchetti, l'autenticazione a due fattori sar\u00e0 applicata a circa 3.500 pacchetti. Per verificare se il proprio account \u00e8 incluso nella lista, \u00e8 stata preparata una pagina speciale. La data esatta per l'introduzione dell'autenticazione a due fattori obbligatoria non \u00e8 ancora stata definita, ma si prevede che avverr\u00e0 nei prossimi mesi. <\/p>\n
A differenza del passaggio all'autenticazione a due fattori per i progetti RubyGems, NPM e GitHub, in PyPI verr\u00e0 implementata inizialmente una schema che prevede l'uso raccomandato di un token hardware con chiavi di accesso. La ragione per l'uso raccomandato di token e del protocollo WebAuthn \u00e8 la maggiore sicurezza rispetto alla generazione di password monouso (la possibilit\u00e0 di utilizzare TOTP al posto dei token sar\u00e0 disponibile come opzione). <\/p>\n
I token possono essere ottenuti gratuitamente \u2014 la Google ha patrocinato l'iniziativa e ha messo a disposizione del progetto 4000 chiavi Titan. Ogni accompagnatore pu\u00f2 richiedere due token gratuiti con interfaccia USB-C o USB-A. Il secondo token viene inviato come riserva in caso di guasto o smarrimento del principale, al fine di minimizzare il rischio di perdere l'accesso al repository e sollevare gli sviluppatori dall'obbligo di affrontare la complessa procedura di recupero dell'accesso. <\/p>\n
Sfortunatamente, i token possono essere inviati solo in Austria, Belgio, Canada, Francia, Germania, Italia, Giappone, Spagna, Svizzera, Regno Unito e Stati Uniti. I manutentori di altri paesi possono acquistare autonomamente token compatibili con le specifiche FIDO U2F, come i token Yubikey e Thetis. In alternativa, \u00e8 anche prevista la possibilit\u00e0 di utilizzare applicazioni di autenticazione basate su password monouso che supportano il protocollo TOTP, come Authy, Google Authenticator e FreeOTP. <\/p>\n
L'iniziativa non \u00e8 stata esente da incidenti. L'autore del pacchetto Atomicwrites, con 6 milioni di download al mese e 38 milioni in sei mesi, ha rifiutato di passare all'autenticazione a due fattori e, per escludere il suo pacchetto dall'elenco dei pacchetti critici, ha tentato di azzerare il contatore dei download. Per farlo, inizialmente ha eliminato il pacchetto e poi ha caricato una nuova versione. Ci si aspettava che tale manovra azzerasse solo il contatore, ma con sorpresa dello sviluppatore, tutte le vecchie versioni sono state eliminate dal repository, causando problemi ai progetti dipendenti dalla libreria, che alcuni sviluppatori hanno paragonato all'incidente causato dall'eliminazione del pacchetto left-pad in NPM. <\/p>\n
Il problema \u00e8 stato aggravato dal fatto che, dopo l'eliminazione, l'autore di atomicwrites non \u00e8 riuscito a caricare le vecchie versioni, il cui ripristino \u00e8 stato possibile solo il giorno successivo all'intervento degli amministratori di PyPI. Dopo quanto accaduto, l'autore del pacchetto ha deciso di interrompere lo sviluppo di atomicwrites e di classificare il pacchetto come obsoleto. Tra le motivazioni si cita il fatto che sviluppa il progetto come hobby nel suo tempo libero e che l'emergere di ulteriori requisiti, che complicano il lavoro, non vale il tempo speso per la manutenzione gratuita di un pacchetto cos\u00ec popolare. L'autore di atomicwrites sostiene che preferirebbe semplicemente scrivere codice per divertimento, e che le preoccupazioni per una protezione aggiuntiva contro le catture da parte di malintenzionati possono essere gestite da chi \u00e8 disposto a pagare per questo. <\/p>\n