Deweloperzy repozytorium pakiet\u00f3w Python PyPI opublikowali plan przej\u015bcia na obowi\u0105zkow\u0105 weryfikacj\u0119 dwuetapow\u0105 dla pakiet\u00f3w, kt\u00f3re zaliczaj\u0105 si\u0119 do kategorii krytycznych. Krytyczno\u015b\u0107 ustalana jest na podstawie liczby pobra\u0144, a zmiana ta b\u0119dzie dotyczy\u0107 kont opiekun\u00f3w i w\u0142a\u015bcicieli projekt\u00f3w zwi\u0105zanych z 1% pakiet\u00f3w wiod\u0105cych pod wzgl\u0119dem liczby pobra\u0144 w ci\u0105gu ostatnich 6 miesi\u0119cy. Bior\u0105c pod uwag\u0119, \u017ce w tej chwili repozytorium PyPI zawiera ponad 350 tys. pakiet\u00f3w, weryfikacja dwuetapowa zostanie wprowadzona dla oko\u0142o 3500 pakiet\u00f3w. Aby sprawdzi\u0107, czy Twoje konto znajduje si\u0119 na li\u015bcie, przygotowano specjaln\u0105 stron\u0119. Dok\u0142adna data wprowadzenia obowi\u0105zkowej weryfikacji dwuetapowej nie zosta\u0142a jeszcze okre\u015blona, ale zak\u0142ada si\u0119, \u017ce nast\u0105pi to w najbli\u017cszych miesi\u0105cach. <\/p>\n
W przeciwie\u0144stwie do przej\u015bcia na weryfikacj\u0119 dwuetapow\u0105 w projektach RubyGems, NPM i GitHub, w PyPI pocz\u0105tkowo wprowadzony zostanie system, kt\u00f3ry zaleca korzystanie z sprz\u0119towego tokena z kluczami dost\u0119pu. Jako pow\u00f3d zalecanego zastosowania token\u00f3w oraz protoko\u0142u WebAuthn podaje si\u0119 wy\u017cszy poziom bezpiecze\u0144stwa w por\u00f3wnaniu do generowania jednorazowych hase\u0142 (mo\u017cliwo\u015b\u0107 korzystania z TOTP zamiast token\u00f3w b\u0119dzie dost\u0119pna jako opcja). <\/p>\n
Tokeny b\u0119d\u0105 dost\u0119pne za darmo \u2014 firma Google zosta\u0142a sponsorem inicjatywy i przeznaczy\u0142a na projekt 4000 kluczy Titan. Ka\u017cdy towarzysz\u0105cy mo\u017ce z\u0142o\u017cy\u0107 wniosek o bezp\u0142atne uzyskanie dw\u00f3ch token\u00f3w z interfejsem USB-C lub USB-A. Drugi token jest wysy\u0142any jako zapasowy na wypadek uszkodzenia lub zgubienia g\u0142\u00f3wnego, aby zminimalizowa\u0107 ryzyko utraty dost\u0119pu do repozytorium i uwolni\u0107 programist\u00f3w od konieczno\u015bci przechodzenia przez skomplikowan\u0105 procedur\u0119 przywracania dost\u0119pu. <\/p>\n
Niestety, tokeny mog\u0105 by\u0107 wysy\u0142ane tylko do Austrii, Belgii, Kanady, Francji, Niemiec, W\u0142och, Japonii, Hiszpanii, Szwajcarii, Wielkiej Brytanii i Stan\u00f3w Zjednoczonych. Opiekunowie z innych kraj\u00f3w mog\u0105 samodzielnie zakupi\u0107 kompatybilne z specyfikacj\u0105 FIDO U2F tokeny, takie jak Yubikey i Thetis. Alternatywnie, przewidziano tak\u017ce mo\u017cliwo\u015b\u0107 stosowania zamiast tokena aplikacji do weryfikacji opartych na jednorazowych has\u0142ach, kt\u00f3re wspieraj\u0105 protok\u00f3\u0142 TOTP, takich jak Authy, Google Authenticator i FreeOTP. <\/p>\n
Inicjatywa nie oby\u0142a si\u0119 bez incydentu. Autor pakietu Atomicwrites, kt\u00f3ry ma 6 milion\u00f3w pobra\u0144 miesi\u0119cznie i 38 milion\u00f3w w ci\u0105gu 6 miesi\u0119cy, nie chcia\u0142 przej\u015b\u0107 na dwuetapow\u0105 weryfikacj\u0119 i w celu usuni\u0119cia swojego pakietu z listy krytycznych pr\u00f3bowa\u0142 zresetowa\u0107 licznik pobra\u0144. Aby to zrobi\u0107, najpierw usun\u0105\u0142 pakiet, a potem przes\u0142a\u0142 now\u0105 wersj\u0119. Oczekiwano, \u017ce taka manipulacja tylko zresetuje licznik, ale ku zdziwieniu dewelopera z repozytorium usuni\u0119to r\u00f3wnie\u017c wszystkie stare wersje, co doprowadzi\u0142o do problem\u00f3w w projektach zale\u017cnych od biblioteki, kt\u00f3re niekt\u00f3rzy deweloperzy por\u00f3wnali z incydentem zwi\u0105zanym z usuni\u0119ciem pakietu left-pad w NPM. <\/p>\n
Problem zaostrzy\u0142 si\u0119 tym, \u017ce po usuni\u0119ciu autor atomicwrites nie m\u00f3g\u0142 za\u0142adowa\u0107 starych wersji, co uda\u0142o si\u0119 odzyska\u0107 dopiero nast\u0119pnego dnia po interwencji administrator\u00f3w PyPI. Po tym, co si\u0119 sta\u0142o, autor pakietu podj\u0105\u0142 decyzj\u0119 o zaprzestaniu rozwoju atomicwrites i sklasyfikowaniu pakietu jako przestarza\u0142ego. Jako pow\u00f3d podaje, \u017ce rozwija projekt jako hobby w wolnym czasie, a pojawienie si\u0119 dodatkowych wymaga\u0144, utrudniaj\u0105cych prac\u0119, nie jest warte czasu po\u015bwi\u0119canego na bezp\u0142atn\u0105 obs\u0142ug\u0119 pakietu o takiej popularno\u015bci. Autor atomicwrites twierdzi, \u017ce wola\u0142by po prostu pisa\u0107 kod dla zabawy, a kwestie dodatkowej ochrony przed przej\u0119ciem przez cyberprzest\u0119pc\u00f3w mo\u017cna zrzuci\u0107 na innych, gdy si\u0119 za to p\u0142aci. <\/p>\n