De ontwikkelaars van de Python package repository PyPI (Python Package Index) hebben de invoering van verplichte tweefactorauthenticatie voor alle gebruikers aangekondigd. Zonder ingeschakelde tweefactorauthenticatie kan een gebruiker nu geen bestanden uploaden en geen handelingen uitvoeren die verband houden met het beheer van zijn project. Eerder was tweefactorauthenticatie verplicht voor accounts van gebruikers die ten minste één project begeleidden of betrokken waren bij het begeleiden van de pakketten van de organisatie.
Het toepassen van tweefactorauthenticatie zal de bescherming van het ontwikkelingsproces versterken en projecten beveiligen tegen schadelijke wijzigingen als gevolg van het lekken van inloggegevens, het gebruik van hetzelfde wachtwoord op een gecompromitteerde website, het inbreken op het lokale systeem van de ontwikkelaar of het toepassen van methoden voor sociale manipulatie. Het verkrijgen van toegang door kwaadwillenden als gevolg van accountovername is een van de meest gevaarlijke bedreigingen, aangezien bij een succesvolle aanval schadelijke wijzigingen in andere producten en bibliotheken, die het gecompromitteerde pakket als afhankelijkheid gebruiken, kunnen worden doorgevoerd.
Als voorkeur voor tweefactorauthenticatie is het schema op basis van compatibele hardware tokens die voldoen aan de FIDO U2F-specificatie en het WebAuthn-protocol aangegeven, wat een hoger niveau van veiligheid biedt in vergelijking met het genereren van eenmalige wachtwoorden. Naast tokens kunnen ook applicaties voor authenticatie op basis van eenmalige wachtwoorden die het TOTP-protocol ondersteunen worden gebruikt, zoals Authy, Google Authenticator en FreeOTP. Bij het uploaden van pakketten wordt ontwikkelaars ook aangeraden over te schakelen op de authenticatiemethode ‘Trusted Publishers’ op basis van de OpenID Connect (OIDC) standaard of API-tokens te gebruiken.
Bron: opennet.ru
