{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"L'implementazione dell'autenticazione a due fattori in PyPI ha portato a un incidente con la rimozione di un pacchetto popolare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli sviluppatori del repository di pacchetti Python PyPI hanno pubblicato un piano per l'implementazione obbligatoria dell'autenticazione a due fattori per i pacchetti classificati come critici. L'importanza \u00e8 determinata dal numero di download e la modifica sar\u00e0 applicata ai conti dei manutentori e dei proprietari dei progetti associati all'1% dei pacchetti che guidano in termini di download negli ultimi 6 mesi. Considerando che attualmente il repository PyPI include oltre 350.000 pacchetti, l'autenticazione a due fattori sar\u00e0 applicata a circa 3.500 pacchetti. Per verificare se il proprio account \u00e8 nella lista, \u00e8 stata preparata una pagina speciale. La data esatta per l'implementazione dell'autenticazione a due fattori obbligatoria non \u00e8 ancora stata stabilita, ma si prevede che avverr\u00e0 nei prossimi mesi. <\/p>\n
A differenza dell'adozione della doppia autenticazione per i progetti RubyGems, NPM e GitHub, PyPI implementer\u00e0 inizialmente uno schema che prevede l'uso raccomandato di un token hardware con chiavi d'accesso. Si cita come motivo per l'uso consigliato dei token e del protocollo WebAuthn una maggiore sicurezza rispetto alla generazione di password usa e getta (la possibilit\u00e0 di utilizzare TOTP al posto dei token sar\u00e0 disponibile come opzione). <\/p>\n
I token possono essere ottenuti gratuitamente \u2014 l'azienda Google ha sponsorizzato l'iniziativa fornendo 4000 chiavi Titan per il progetto. Ogni accompagnatore pu\u00f2 richiedere gratuitamente due token con interfaccia USB-C o USB-A. Il secondo token viene inviato come riserva nel caso di guasto o perdita del principale, per minimizzare il rischio di perdita di accesso al repository e liberare gli sviluppatori dalla necessit\u00e0 di passare attraverso una complessa procedura di recupero dell'accesso. <\/p>\n
Sfortunatamente, i token possono essere inviati solo in Austria, Belgio, Canada, Francia, Germania, Italia, Giappone, Spagna, Svizzera, Regno Unito e Stati Uniti. I viaggiatori da altri paesi possono acquistare token compatibili con la specifica FIDO U2F, come ad esempio i token Yubikey e Thetis. In alternativa, \u00e8 possibile utilizzare app per l'autenticazione basate su codice monouso che supportano il protocollo TOTP, come Authy, Google Authenticator e FreeOTP. <\/p>\n
L'iniziativa non \u00e8 stata priva di incidenti. L'autore del pacchetto Atomicwrites, che conta 6 milioni di download al mese e 38 milioni in sei mesi, ha rifiutato di attivare l'autenticazione a due fattori e, per escludere il suo pacchetto dalla lista di quelli critici, ha tentato di azzerare il contatore dei download. Per farlo, ha prima eliminato il pacchetto e poi ha caricato una nuova versione. Si pensava che tale manovra avrebbe semplicemente azzerato il contatore, ma con grande sorpresa dello sviluppatore, tutte le versioni precedenti sono state rimosse dal repository, causando problemi ai progetti dipendenti dalla libreria, che alcuni sviluppatori hanno paragonato all'incidente avvenuto a causa della rimozione del pacchetto left-pad da NPM. <\/p>\n
Il problema \u00e8 stato aggravato dal fatto che, dopo la rimozione, l'autore di atomicwrites non \u00e8 riuscito a caricare le versioni precedenti, che sono state ripristinate solo il giorno successivo grazie al coinvolgimento degli amministratori di PyPI. Dopo quanto accaduto, l'autore del pacchetto ha deciso di interrompere lo sviluppo di atomicwrites e di declassare il pacchetto a obsoleto. Tra le ragioni menzionate c'\u00e8 il fatto che gestisce il progetto come un hobby nel tempo libero, e che l'emergere di requisiti aggiuntivi, che complicano il lavoro, non giustificano il tempo speso per mantenere gratuitamente un pacchetto di tale popolarit\u00e0. L'autore di atomicwrites afferma che preferirebbe semplicemente scrivere codice per divertimento, mentre le problematiche legate alla sicurezza da attacchi di malintenzionati possono essere affrontate da chi \u00e8 disposto a pagare per questo. <\/p>\n