{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"A implementa\u00e7\u00e3o da autentica\u00e7\u00e3o de dois fatores no PyPI levou a um incidente de remo\u00e7\u00e3o de um pacote popular.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Os desenvolvedores do reposit\u00f3rio de pacotes Python PyPI publicaram um plano para a implementa\u00e7\u00e3o obrigat\u00f3ria da autentica\u00e7\u00e3o de dois fatores para pacotes que se enquadram na categoria de import\u00e2ncia cr\u00edtica. A import\u00e2ncia \u00e9 determinada pelo n\u00famero de downloads, e a mudan\u00e7a se aplicar\u00e1 \u00e0s contas dos mantenedores e propriet\u00e1rios de projetos relacionados a 1% dos pacotes que lideram em n\u00famero de downloads nos \u00faltimos 6 meses. Considerando que o reposit\u00f3rio PyPI atualmente inclui mais de 350 mil pacotes, a autentica\u00e7\u00e3o de dois fatores ser\u00e1 aplicada a aproximadamente 3.500 pacotes. Uma p\u00e1gina especial foi preparada para verificar se uma conta est\u00e1 na lista. A data exata para a implementa\u00e7\u00e3o obrigat\u00f3ria da autentica\u00e7\u00e3o de dois fatores ainda n\u00e3o foi definida, mas espera-se que ocorra nos pr\u00f3ximos meses. <\/p>\n
Diferentemente da transi\u00e7\u00e3o para a autentica\u00e7\u00e3o de dois fatores nos projetos RubyGems, NPM e GitHub, a PyPI introduzir\u00e1 inicialmente um esquema que sugere o uso desej\u00e1vel de um token de hardware com chaves de acesso. A raz\u00e3o para a recomenda\u00e7\u00e3o do uso de tokens e do protocolo WebAuthn \u00e9 mencionada como sendo a maior seguran\u00e7a em compara\u00e7\u00e3o com a gera\u00e7\u00e3o de senhas tempor\u00e1rias (a possibilidade de usar TOTP em vez de tokens estar\u00e1 dispon\u00edvel como uma op\u00e7\u00e3o). <\/p>\n
Os tokens poder\u00e3o ser obtidos gratuitamente \u2014 a empresa Google patrocinou a iniciativa e destinou 4000 chaves Titan para o projeto. Cada acompanhante pode solicitar a obten\u00e7\u00e3o gratuita de dois tokens com interface USB-C ou USB-A. O segundo token \u00e9 enviado como reserva, caso o principal quebre ou se perca, para minimizar o risco de perda de acesso ao reposit\u00f3rio e isentar os desenvolvedores da necessidade de passar por um complicado processo de recupera\u00e7\u00e3o de acesso. <\/p>\n
Infelizmente, os tokens s\u00f3 podem ser enviados para \u00c1ustria, B\u00e9lgica, Canad\u00e1, Fran\u00e7a, Alemanha, It\u00e1lia, Jap\u00e3o, Espanha, Su\u00ed\u00e7a, Reino Unido e Estados Unidos. Os mantenedores de outros pa\u00edses podem adquirir tokens compat\u00edveis com a especifica\u00e7\u00e3o FIDO U2F por conta pr\u00f3pria, como os tokens Yubikey e Thetis. Como alternativa, tamb\u00e9m \u00e9 poss\u00edvel usar aplicativos de autentica\u00e7\u00e3o baseados em senhas tempor\u00e1rias que suportem o protocolo TOTP, como Authy, Google Authenticator e FreeOTP. <\/p>\n
A iniciativa n\u00e3o ocorreu sem incidentes. O autor do pacote Atomicwrites, que tem 6 milh\u00f5es de downloads por m\u00eas e 38 milh\u00f5es em 6 meses, n\u00e3o quis ativar a autentica\u00e7\u00e3o em duas etapas e, para tentar excluir seu pacote da lista de cr\u00edticos, tentou redefinir o contador de downloads. Para isso, ele primeiro removeu o pacote e depois carregou uma nova vers\u00e3o. Esperava-se que essa manipula\u00e7\u00e3o apenas zerasse o contador, mas, para a surpresa do desenvolvedor, todas as vers\u00f5es antigas foram removidas do reposit\u00f3rio, causando problemas nos projetos dependentes da biblioteca, que alguns desenvolvedores compararam ao incidente resultante da remo\u00e7\u00e3o do pacote left-pad no NPM. <\/p>\n
O problema se agravou porque, ap\u00f3s a remo\u00e7\u00e3o, o autor do atomicwrites n\u00e3o conseguiu carregar as vers\u00f5es antigas, que s\u00f3 puderam ser recuperadas no dia seguinte, ap\u00f3s a interven\u00e7\u00e3o dos administradores do PyPI. Ap\u00f3s o ocorrido, o autor do pacote decidiu interromper o desenvolvimento do atomicwrites e classificar o pacote como obsoleto. Ele mencionou como raz\u00e3o que desenvolve o projeto como um hobby em seu tempo livre e que o surgimento de requisitos adicionais, que complicam o trabalho, n\u00e3o valem o tempo gasto no suporte gratuito a um pacote t\u00e3o popular. O autor do atomicwrites afirma que preferiria apenas programar por divers\u00e3o, e as preocupa\u00e7\u00f5es com a prote\u00e7\u00e3o adicional contra a apreens\u00e3o por invasores poderiam ser assumidas por quem paga por isso. <\/p>\n
A biblioteca atomicwrites cont\u00e9m cerca de 200 linhas de c\u00f3digo e oferece fun\u00e7\u00f5es para grava\u00e7\u00e3o at\u00f4mica de arquivos. Como alternativa, \u00e9 poss\u00edvel usar as chamadas padr\u00e3o os.replace e os.rename (a opera\u00e7\u00e3o consiste em gravar em um arquivo com um nome tempor\u00e1rio e renome\u00e1-lo para o arquivo de destino ap\u00f3s estar pronto). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"