Os desenvolvedores do repositório de pacotes Python PyPI (Python Package Index) anunciaram a implementação da autenticação de dois fatores obrigatória para todos os usuários. Sem ativar a autenticação de dois fatores, os usuários não poderão fazer upload de arquivos e executar ações relacionadas à gestão de seus projetos. Anteriormente, a autenticação de dois fatores foi ativada para contas de usuários que acompanhavam pelo menos um projeto ou estavam envolvidos com pacotes organizacionais.
A implementação da autenticação de dois fatores fortalece a proteção do processo de desenvolvimento e protege os projetos contra alterações maliciosas resultantes do vazamento de credenciais, do uso da mesma senha em um site comprometido, de invasões no sistema local do desenvolvedor ou de métodos de engenharia social. O acesso dos cibercriminosos em decorrência do sequestro de contas é uma das ameaças mais perigosas, já que, em caso de um ataque bem-sucedido, podem ser inseridas alterações maliciosas em outros produtos e bibliotecas que utilizam o pacote comprometido como dependência.
A abordagem preferencial para autenticação de dois fatores utiliza um esquema baseado em tokens de hardware compatíveis com a especificação FIDO U2F e o protocolo WebAuthn, que permite atingir um nível de segurança superior em comparação à geração de senhas únicas. Além dos tokens, também podem ser utilizados aplicativos de autenticação baseados em senhas únicas, que suportam o protocolo TOTP, como Authy, Google Authenticator e FreeOTP. Ao fazer upload de pacotes, os desenvolvedores também são recomendados a adotar o método de autenticação ‘Trusted Publishers’ baseado no padrão OpenID Connect (OIDC) ou a usar tokens de API.
Fonte: opennet.ru
