Os desenvolvedores do repositório de pacotes Python PyPI (Python Package Index) implementaram uma etapa adicional de verificação durante o login, exigindo a confirmação da operação por e-mail caso a conexão ocorra a partir de um dispositivo ou navegador que não tenha sido utilizado anteriormente. A confirmação é necessária além da autenticação de dois fatores já existente, que requer a entrada de um código único (TOTP — Time-based One-Time Password) além das credenciais normais. Quando se usam chaves baseadas nas tecnologias WebAuthn ou Passkeys como segundo fator de autenticação, a confirmação adicional por e-mail não é necessária.
A razão para a adição da nova verificação é o fortalecimento da proteção contra phishing. Recentemente, para contornar a proteção proporcionada pela autenticação de dois fatores, os atacantes começaram a utilizar a proxyização transparente do tráfego de sites de phishing para o site real pypi.org, o que cria a impressão ao usuário de que está trabalhando com o verdadeiro catálogo do PyPI. A página de login também é proxyizada e os atacantes controlam não apenas a senha de entrada originalmente inserida, mas também a resposta à solicitação de verificação do segundo fator de autenticação.
A solicitação adicional de confirmação de credenciais com um aviso sobre a tentativa de login a partir de um novo dispositivo evitará a compromissão no caso de um código TOTP e senha serem interceptados, além de alertar os desenvolvedores que não mudaram de equipamento. Durante a proxyização, os atacantes podem interceptar os parâmetros da conta e o código único TOTP inserido, mas não podem influenciar a confirmação por e-mail, que requer um clique no link indicado dentro do e-mail.
Se o usuário recebeu um e-mail de verificação, mas não tentou entrar no catálogo PyPI, não deve clicar no link. Se houve uma tentativa de login, mas o dispositivo não foi alterado, deve-se verificar se a tentativa de login ocorreu através de um site de phishing e, caso uma ataque seja identificado, alterar a senha imediatamente e verificar a atividade na conta.
Fonte: opennet.ru
