🥇PyPI सँग अब पासवर्ड र एपीआई टोकनहरूमा बाँधिएको बिना प्याकेजहरू प्रकाशित गर्ने क्षमता छ। प्रोहोस्टर

पाइथन प्याकेजहरूको PyPI (पाइथन प्याकेज इन्डेक्स) भण्डारले प्याकेजहरू प्रकाशित गर्नको लागि नयाँ सुरक्षित विधि प्रयोग गर्ने क्षमता प्रदान गर्दछ, जसले तपाईंलाई बाह्य प्रणालीहरूमा निश्चित पासवर्डहरू र API पहुँच टोकनहरू भण्डारण गर्नबाट बच्न अनुमति दिन्छ (उदाहरणका लागि, GitHub कार्यहरूमा)। नयाँ प्रमाणीकरण विधिलाई 'विश्वसनीय प्रकाशकहरू' भनिन्छ र बाह्य प्रणालीहरू र पूर्वनिर्धारित पासवर्डहरू वा टोकनहरू आक्रमणकारीहरूको हातमा परेको कारणले गर्दा हुने खराब अद्यावधिकहरू प्रकाशित गर्ने समस्या समाधान गर्न डिजाइन गरिएको हो।

नयाँ प्रमाणीकरण विधि OpenID Connect (OIDC) मानकमा आधारित छ, जसले बाह्य सेवाहरू र PyPI डाइरेक्टरी बीचको समय-सीमित प्रमाणीकरण टोकनहरू प्रयोग गर्दछ जुन प्याकेज प्रकाशन कार्यलाई मान्य गर्नको लागि, परम्परागत लगइन/पासवर्डहरू प्रयोग गर्नुको सट्टा वा म्यानुअल रूपमा निरन्तर API पहुँच उत्पन्न हुन्छ। टोकनहरू। GitHub कार्यहरूमा लन्च गरिएका ह्यान्डलरहरूका लागि विश्वसनीय प्रकाशक संयन्त्र प्रयोग गर्ने क्षमता पहिले नै लागू गरिएको छ। अन्य बाह्य सेवाहरूको लागि विश्वसनीय प्रकाशकहरूको समर्थन भविष्यमा लागू हुने अपेक्षा गरिएको छ।

मर्मतकर्ताहरूले बाह्य OpenID प्रदायकहरू (IdP, OpenID Connect Identity Provider) लाई उपलब्ध गराइएका पहिचानकर्ताहरूको लागि PyPI पक्षमा विश्वास सेट गर्न सक्छन्, जुन बाह्य सेवाले PyPI बाट अल्पकालीन टोकनहरू अनुरोध गर्न प्रयोग गर्नेछ। उत्पन्न गरिएका OpenID Connect टोकनहरूले परियोजना र ह्यान्डलर बीचको सम्बन्ध प्रमाणित गर्दछ, जसले PyPI लाई थप मेटाडेटा प्रमाणिकरण गर्न अनुमति दिन्छ, जस्तै प्रकाशित प्याकेज निश्चित भण्डारसँग सम्बन्धित छ भनी प्रमाणित गर्ने। टोकनहरू भण्डार गरिएको छैन, विशिष्ट API मा बाँधिएको छ, र छोटो जीवनकाल पछि स्वचालित रूपमा समाप्त हुन्छ।

थप रूपमा, तपाईंले मार्च 2023 मा PyPI क्याटलगमा 6933 मालिसियस प्याकेजहरूको पहिचानको बारेमा जानकारीको साथ Sonatype बाट रिपोर्ट नोट गर्न सक्नुहुन्छ। कुल मिलाएर, 2019 पछि, PyPI मा पहिचान गरिएको मालिसियस प्याकेजहरूको संख्या 115 हजार नाघेको छ। धेरैजसो मालिसियस प्याकेजहरू टाइपोस्क्वाटिङ् प्रयोग गरेर लोकप्रिय पुस्तकालयहरूको भेषमा हुन्छन् (व्यक्तिगत क्यारेक्टरहरूमा फरक हुने समान नामहरू तोक्ने, उदाहरणको लागि, उदाहरणको सट्टा उदाहरण, django को सट्टा django, python को सट्टा pyhton, इत्यादि) - आक्रमणकारीहरूले बेवास्ता गर्ने प्रयोगकर्ताहरूमा भर पर्छन्। टाइपो वा कसले खोजी गर्दा नाममा भिन्नता देख्यो। पासवर्डहरू, पहुँच कुञ्जीहरू, क्रिप्टो वालेटहरू, टोकनहरू, सत्र कुकीहरू र अन्य गोप्य जानकारीहरूका साथ विशिष्ट फाइलहरू पहिचान गर्ने परिणामको रूपमा स्थानीय प्रणालीमा फेला परेको गोप्य डाटा पठाउन सामान्यतया खराब कार्यहरू आउँछन्।

स्रोत: opennet.ru

PyPI सँग अब पासवर्ड र API टोकनहरूमा बाँधिएको बिना प्याकेजहरू प्रकाशित गर्ने क्षमता छ

एक टिप्पणी थप्न Отменить ответ