Vývojári repozitára Python balíčkov PyPI (Python Package Index) zaviedli ďalší krok overovania pri prihlásení, ktorý vyžaduje potvrdenie operácie e-mailom v prípade prihlásenia z zariadenia alebo prehliadača, z ktorého sa predtým neprihlasovalo. Potvrdenie je požadované ako doplnok k existujúcej dvojfaktorovej autentifikácii, ktorá vyžaduje zadanie jednorázového kódu (TOTP — Time-based One-Time Password) okrem bežných prihlasovacích údajov. Pri použití kľúčov na báze technológie WebAuthn alebo Passkeys ako druhého faktora autentifikácie nie je potrebné ďalšie potvrdenie e-mailom.
Ako dôvod pridania nového overenia sa uvádza posilnenie ochrany pred phishingom. V poslednom čase na obídenie ochrany pomocou dvojfaktorovej autentifikácie útočníci prešli na použitie transparentného proxyovania dopravy z phishingových stránok na skutočnú stránku pypi.org, pričom používateľ má pocit, že pracuje s reálnym katalógom PyPI. Prihlásenie je taktiež proxyované a útočníci kontrolujú nielen pôvodne zadané prihlasovacie heslo, ale aj odpoveď na overovací dotaz druhého faktora autentifikácie.
Dodatočná žiadosť o potvrdenie oprávnení s upozornením na pokus o prihlásenie z nového zariadenia zabráni kompromitácii v prípade odchytávania TOTP kódu a hesla, a taktiež upozorní vývojárov, ktorí nezmenili hardvér. Pri proxyovaní môžu útočníci odchytiť parametre účtu a zadaný jednorázový kód TOTP, no nemôžu ovplyvniť potvrdenie e-mailom, ktoré vyžaduje kliknutie na odkaz uvedený v e-maile.
Ak používateľ dostal overovací e-mail, ale nepokúšal sa prihlásiť do katalógu PyPI, nemal by prechádzať na odkaz. Ak pokus o prihlásenie bol, ale zariadenie sa nezmenilo, mal by skontrolovať, či nebol pokus o prihlásenie cez phishingovú stránku a v prípade potvrdenia útoku urgentne zmeniť heslo a skontrolovať aktivitu v účte.
Zdroj: opennet.ru
