Zhvilluesit e repositorit tĂ« pakove Python PyPI (Python Package Index) kanĂ« implementuar njĂ« hap tĂ« ri verifikimi gjatĂ« hyrjes, i cili kĂ«rkon konfirmimin e operacionit pĂ«rmes email-it nĂ« rast se kyçja bĂ«het nga njĂ« pajisje ose shfletues nga i cili nuk Ă«shtĂ« kryer mĂ« parĂ« hyrja. Konfirmimi kĂ«rkohet si njĂ« strukturĂ« shtesĂ« pĂ«r autentikimin me dy faktorĂ« ekzistues, i cili kĂ«rkon futjen e njĂ« kodi njĂ«herĂ«sh (TOTP â Kod njĂ«herĂ«sh i bazuar nĂ« kohĂ«) pĂ«rveç tĂ« dhĂ«nave tĂ« zakonshme tĂ« identifikimit. Kur pĂ«rdoren si faktor tĂ« dytĂ« autentikimi çelĂ«sa tĂ« bazuar nĂ« teknologjitĂ« WebAuthn ose Passkeys, konfirmimi shtesĂ« pĂ«rmes email-it nuk kĂ«rkohet.
Si arsye për shtimin e verifikimit të ri përmendet përforcimi i mbrojtjes nga phishing. Kohët e fundit, për të anashkaluar mbrojtjen përmes dyfaktorëve të autentifikimit, sulmuesit kanë kaluar në përdorimin e proksimit transparent të trafikut nga faqet phishing në faqen e vërtetë pypi.org, duke krijuar kështu një ndjesi te përdoruesi se po punon me katalogun e vërtetë PyPI. Po ashtu, faqa e hyrjes proksizohet dhe sulmuesit kontrollojnë jo vetëm fjalëkalimin e hyrjes të hyrjes, por edhe përgjigjen ndaj pyetjes verifikuese të faktorëve të autentifikimit të dytë.
Kërkesa shtesë për konfirmimin e autorizimit me një paralajmërim për përpjekjen e hyrjes nga një pajisje të re do të parandalojë komprometimin në rastin e kapjes së kodit TOTP dhe fjalëkalimit, si dhe do të paralajmërojë zhvilluesit që nuk kanë ndryshuar pajisjet. Gjatë proksimit, sulmuesit mund të kapin parametrat e llogarisë dhe kodin e njëherëshëm TOTP të futur, por nuk mund të ndikojnë në konfirmimin përmes emailit, që kërkon një klikim në lidhjen e dhënë brenda emailit.
Nëse përdoruesi ka marrë një email verifikimi, por nuk ka tentuar të hyjë në katalogun PyPI, atëherë nuk duhet të klikoni në lidhje. Nëse ka pasur një tentativë për hyrje, por pajisja nuk është ndryshuar, duhet të kontrolloni nëse tentativa e hyrjes është bërë përmes një faqeje phishing dhe, nëse ka një sulm, me urgjencë të ndryshoni fjalëkalimin dhe të verifikoni aktivitetin në llogari.
Burimi: opennet.ru
