{"id":108047,"date":"2023-04-23T12:48:18","date_gmt":"2023-04-23T10:48:18","guid":{"rendered":"https:\/\/prohoster.info\/?p=108047"},"modified":"2023-04-24T10:41:12","modified_gmt":"2023-04-24T08:41:12","slug":"v-pypi-realizovana-vozmozhnost-publikaczii-paketov-bez-privyazki-k-parolyam-i-tokenam-api","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-pypi-realizovana-vozmozhnost-publikaczii-paketov-bez-privyazki-k-parolyam-i-tokenam-api","title":{"rendered":"In PyPI \u00e8 stata implementata la possibilit\u00e0 di pubblicare pacchetti senza vincoli a password e token API","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel repository dei pacchetti Python PyPI (Python Package Index) \u00e8 disponibile un nuovo metodo sicuro per la pubblicazione dei pacchetti, che consente di non dover conservare su sistemi esterni (come GitHub Actions) password e token di accesso all'API fissi. Questo nuovo metodo di autenticazione \u00e8 stato chiamato 'Trusted Publishers' e mira a risolvere il problema della pubblicazione di aggiornamenti dannosi causata dal compromesso di sistemi esterni e dall'accesso da parte dei malintenzionati a password o token predefiniti. <\/p>\n
Il nuovo metodo di autenticazione si basa sull'utilizzo dello standard OpenID Connect (OIDC), che prevede l'uso di token di autenticazione con un tempo di vita limitato, che vengono scambiati tra servizi esterni e il catalogo PyPI per confermare l'operazione di pubblicazione del pacchetto, invece di utilizzare il tradizionale nome utente\/password o token di accesso all'API generati manualmente e permanenti. La possibilit\u00e0 di applicare il meccanismo 'Trusted Publishers' \u00e8 gi\u00e0 stata implementata per i gestori eseguiti in GitHub Actions. In futuro, \u00e8 prevista l'implementazione del supporto per Trusted Publishers anche per altri servizi esterni. <\/p>\n
I pacchetti di accompagnamento possono segnalare sul lato di PyPI la fiducia negli identificatori forniti dai provider esterni OpenID (IdP, OpenID Connect Identity Provider), che il servizio esterno utilizzer\u00e0 per richiedere a PyPI dei token a breve termine. I token generati da OpenID Connect confermano il legame tra il progetto e il gestore, consentendo a PyPI di eseguire una verifica aggiuntiva dei metadati, ad esempio verificando che il pacchetto pubblicato sia collegato a un determinato repository. I token non vengono memorizzati, sono associati a specifiche API e scadono automaticamente dopo un breve periodo di validit\u00e0. <\/p>\n
Si segnala inoltre il rapporto della compagnia Sonatype che informa di aver rilevato nel marzo 2023 6933 pacchetti dannosi nel catalogo PyPI. Dall'inizio del 2019, il numero di pacchetti dannosi identificati in PyPI ha superato i 115.000. La maggior parte dei pacchetti dannosi si nasconde dietro librerie popolari utilizzando il typosquatting (assegnazione di nomi simili, differente solo per alcuni caratteri, ad esempio, exampl invece di example, djangoo invece di django, pyhton invece di python, ecc.) \u2014 i malintenzionati contano sugli utenti distratti, che commettono errori di battitura o non notano le differenze nel nome durante la ricerca. Le azioni dannose di solito consistono nell'invio di dati riservati, trovati nel sistema locale a seguito dell'identificazione di file tipici contenenti password, chiavi di accesso, portafogli criptovalute, token, cookie di sessione e altre informazioni sensibili. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"