V repozitári Python balíkov PyPI (Python Package Index) je k dispozícii nový zabezpečený spôsob publikácie balíkov, ktorý umožňuje obísť potrebu uchovávať fixné heslá a prístupové API tokeny na externých systémoch (napríklad v akciách GitHub). Nová metóda autentifikácie dostala názov 'Dôveryhodní vydavatelia' a má za cieľ vyriešiť problém s publikovaním škodlivých aktualizácií, ktoré sa uskutočňujú v dôsledku kompromitácie externých systémov a získania pevne daných hesiel alebo tokenov zlými aktérmi.
Nová metóda autentifikácie je založená na používaní štandardu OpenID Connect (OIDC), ktorý zahŕňa používanie autentifikačných tokenov s obmedzeným časovým trvaním, ktoré si vymieňajú externé služby a adresár PyPI na potvrdenie operácie publikácie balíka namiesto tradičného prihlásenia/hesla alebo ručne generovaných trvalých prístupových tokenov k API. Možnosť využitia mechanizmu 'Dôveryhodní vydavatelia' už bola implementovaná pre spracovateľov, ktorí sú spúšťaní v akciách GitHub. V budúcnosti sa očakáva implementácia podpory Dôveryhodných vydavateľov aj pre iné externé služby.
Sprievodné balíky môžu na strane PyPI nastaviť znak dôvery identifikátorom poskytovaným externými poskytovateľmi OpenID (IdP, OpenID Connect Identity Provider), ktoré externá služba použije na požiadanie o krátkodobé tokeny od PyPI. Generované tokeny OpenID Connect potvrdzujú spojenie medzi projektom a spracovateľom, čo umožňuje PyPI vykonávať dodatočnú verifikáciu metadát, napríklad overovať, že publikovaný balík je v súlade s určitým repozitárom. Tokeny sa neuchovávajú, sú viazané na konkrétne API a automaticky prestávajú platiť po uplynutí krátkeho časového obdobia.
Navyše možno spomenúť správu spoločnosti Sonatype, ktorá uvádza, že v marci 2023 bolo v katalógu PyPI identifikovaných 6933 malvérových balíkov. Od roku 2019 počet identifikovaných malvérových balíkov v PyPI presiahol 115 tisíc. Väčšina malvérových balíkov sa maskuje ako populárne knižnice prostredníctvom typového zamieňania (priraďovanie podobných názvov, ktoré sa líšia len jednotlivými znakmi, napríklad exampl namiesto example, djangoo namiesto django, pyhton namiesto python a pod.) — útočníci sa spoliehajú na nepozorných používateľov, ktorí urobili preklep alebo si nevšimli rozdiely v názve pri hľadaní. Malvérové akcie sa zvyčajne zameriavajú na zasielanie dôverných údajov, ktoré sa nachádzajú na lokálnom systéme v dôsledku identifikácie typových súborov s heslami, prístupovými kľúčmi, kryptopeňaženkami, tokenmi, reláciovými cookie a inými dôvernými informáciami.
Zdroj: opennet.ru
