PyPI भण्डारले जारी गरिएका डोमेनहरूसँग इमेल ब्लकिङ लागू गर्दछ

पाइथन प्याकेजहरूको पाइथन प्याकेज इन्डेक्स (PyPI) भण्डारका विकासकर्ताहरूले खाता प्यारामिटरहरूमा निर्दिष्ट जारी गरिएका डोमेनहरू खरिद गरेर परियोजना अधिग्रहण विरुद्ध सुरक्षा लागू गरेका छन्। आक्रमणकारीहरूले म्याद सकिएका डोमेनहरू भएका इमेलहरूसँग लिङ्क गरिएका खाताहरू खोज्छन्, त्यसपछि जारी गरिएको डोमेन आफैं दर्ता गर्छन्, मेल ट्राफिकलाई तिनीहरूको सर्भरमा रिडिरेक्ट गर्छन् र इमेलमाथि नियन्त्रण प्राप्त गरेपछि, बिर्सिएको पासवर्ड पुन: प्राप्ति गर्ने प्रक्रिया सुरु गर्छन् भन्ने तथ्यमा आक्रमण उबलिन्छ। २०२२ मा, पाइथन प्याकेज ctx माथि नियन्त्रण यसरी प्राप्त गरिएको थियो।

यस्ता आक्रमणहरूबाट जोगाउन, PyPI ले यसको सान्दर्भिकताको दैनिक अनुगमन लागू गर्दछ। डोमेन नामहरू, इमेल ठेगानाहरूमा प्रयोग गरिन्छ। म्याद सकिएका डोमेनहरू भएका इमेल ठेगानाहरू अब स्वचालित रूपमा अप्रमाणितको रूपमा चिन्ह लगाइन्छ। PyPI ले अप्रमाणित ठेगानाहरूको लागि पासवर्ड रिकभरी अनुमति दिँदैन। पुन: प्रमाणीकरण पासवर्ड थाहा भएको खाता मालिकले मात्र सुरु गर्न सक्छ।

जुनको सुरुवातदेखि, PyPI प्रयोगकर्ता आधारमा नवीकरण नगरिएका डोमेनहरूसँग सम्बन्धित १,८०० भन्दा बढी इमेल ठेगानाहरू पहिचान गरिएका छन्। जनवरी १, २०२४ सम्म, PyPI निर्देशिका अनिवार्य दुई-कारक प्रमाणीकरणमा स्विच गरिएको छ, जस बिना प्रयोगकर्ताले परियोजना व्यवस्थापन गर्न कार्यहरू गर्न सक्दैन। यद्यपि, अनिवार्य दुई-कारक प्रमाणीकरणको परिचय अघि सिर्जना गरिएका पुराना प्रयोगकर्ताहरूको लागि, इमेल पुष्टिकरण मार्फत पासवर्ड पुन: प्राप्ति गर्ने विकल्प रहन्छ, जसलाई दुई-कारक प्रमाणीकरण आवश्यक पर्दैन।

स्रोत: opennet.ru