PyPI ја имплементира способноста да објавува пакети без да биде врзан за лозинки и токени на API

Складиштето на PyPI (Python Package Index) на пакетите Python обезбедува можност за користење на нов безбеден метод за објавување пакети, кој ви овозможува да избегнете складирање фиксни лозинки и токени за пристап до API на надворешни системи (на пример, во GitHub Actions). Новиот метод за автентикација се нарекува „Доверливи издавачи“ и е дизајниран да го реши проблемот со објавување на малициозни ажурирања што се вршат како резултат на компромитирање на надворешни системи и однапред дефинирани лозинки или токени кои паѓаат во рацете на напаѓачите.

Новиот метод за автентикација се заснова на стандардот OpenID Connect (OIDC), кој користи временски ограничени токени за автентикација разменети помеѓу надворешни услуги и директориумот PyPI за да ја потврди операцијата за објавување пакети, наместо да користи традиционално најавување/лозинки или рачно генериран постојан пристап до API. токени. Способноста за користење на механизмот Trusted Publishers веќе е имплементирана за ракувачи кои се лансирани во GitHub Actions. Во иднина се очекува да се имплементира поддршката на Trusted Publishers за други надворешни услуги.

Одржувачите можат да постават доверба на страната на PyPI за идентификатори доставени до надворешни провајдери на OpenID (IdP, OpenID Connect Identity Provider), кои надворешната услуга ќе ги користи за да бара краткотрајни токени од PyPI. Генерираните OpenID Connect токени ја потврдуваат врската помеѓу проектот и управувачот, што му овозможува на PyPI да изврши дополнителна проверка на метаподатоци, како на пример да потврди дека објавениот пакет е поврзан со одредено складиште. Токените не се складираат, се врзани за одредени API и автоматски истекуваат по краток век на траење.

Дополнително, можете да го забележите извештајот од Sonatype со информации за идентификација на 2023 малициозни пакети во каталогот PyPI во март 6933 година. Вкупно, од 2019 година, бројот на малициозни пакети идентификувани во PyPI надмина 115 илјади. Повеќето малициозни пакети се маскирани како популарни библиотеки со користење на тајпоскватирање (доделување слични имиња кои се разликуваат во поединечни знаци, на пример, пример наместо пример, djangoo наместо django, pyhton наместо python итн.) - напаѓачите се потпираат на невнимателни корисници кои направиле печатна грешка или кој забележал разлики во името при пребарувањето. Злонамерните дејства обично се сведуваат на испраќање доверливи податоци пронајдени на локалниот систем како резултат на идентификување типични датотеки со лозинки, клучеви за пристап, криптопаричници, токени, колачиња за сесии и други доверливи информации.

Извор: opennet.ru