{"id":104623,"date":"2022-07-10T09:36:38","date_gmt":"2022-07-10T07:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa"},"modified":"2022-07-10T09:36:38","modified_gmt":"2022-07-10T07:36:38","slug":"vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/novosti-interneta\/vnedrenie-dvuhfaktornoj-autentifikaczii-v-pypi-privelo-k-inczidentu-s-udaleniem-populyarnogo-paketa","title":{"rendered":"Zbatimi i verifikimit n\u00eb dy faktor\u00eb n\u00eb PyPI \u00e7oi n\u00eb nj\u00eb incident q\u00eb rezultoi n\u00eb fshirjen e nj\u00eb pakete popullore","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Zhvilluesit e depozit\u00ebs s\u00eb paketave Python, PyPI, publikuan nj\u00eb plan p\u00ebr kalimin n\u00eb autentifikimin me dy faktor\u00eb t\u00eb detyruesh\u00ebm p\u00ebr paketat q\u00eb p\u00ebrfshihen n\u00eb kategorin\u00eb e atyre kritikisht t\u00eb r\u00ebnd\u00ebsishme. R\u00ebnd\u00ebsia p\u00ebrcaktohet nga numri i shkarkimeve dhe ky ndryshim do t\u00eb aplikohet p\u00ebr llogarit\u00eb e shoq\u00ebruesve dhe pronar\u00ebve t\u00eb projekteve t\u00eb lidhura me 1% t\u00eb paketave q\u00eb udh\u00ebheqin n\u00eb numrin e shkarkimeve p\u00ebr 6 muaj. Duke marr\u00eb parasysh se aktualisht depozita PyPI p\u00ebrfshin m\u00eb shum\u00eb se 350 mij\u00eb paketa, autentifikimi me dy faktor\u00eb do t\u00eb aplikohet p\u00ebr rreth 3500 paketa. P\u00ebr t\u00eb verifikuar n\u00ebse llogaria \u00ebsht\u00eb n\u00eb list\u00eb, \u00ebsht\u00eb p\u00ebrgatitur nj\u00eb faqe speciale. Data e sakt\u00eb e fillimit t\u00eb detyruesh\u00ebm p\u00ebr autentifikim me dy faktor\u00eb ende nuk \u00ebsht\u00eb caktuar, por pritet q\u00eb kjo t\u00eb ndodh\u00eb n\u00eb muajt e ardhsh\u00ebm. <\/p>\n
N\u00eb kund\u00ebrshtim me kalimin n\u00eb autentifikimin me dy faktor\u00eb p\u00ebr projektet RubyGems, NPM dhe GitHub, n\u00eb PyPI do t\u00eb implementohet fillimisht nj\u00eb skem\u00eb q\u00eb sugjeron p\u00ebrdorimin e d\u00ebshiruesh\u00ebm t\u00eb nj\u00eb tokeni hardueri me \u00e7el\u00ebsa akses. Arsyetimi p\u00ebr p\u00ebrdorimin e rekomanduar t\u00eb token\u00ebve dhe protokollit WebAuthn \u00ebsht\u00eb nj\u00eb siguri m\u00eb e lart\u00eb krahasuar me gjenerimin e fjal\u00ebkalimeve t\u00eb p\u00ebrkohshme (mund\u00ebsia p\u00ebr p\u00ebrdorimin e TOTP p\u00ebrve\u00e7 token\u00ebve do t\u00eb jet\u00eb e disponueshme si nj\u00eb opsion). <\/p>\n
Tokens do t\u00eb jen\u00eb t\u00eb disponueshme falas \u2014 kompania Google ka mb\u00ebshtetur iniciativ\u00ebn dhe ka ndar\u00eb 4000 \u00e7el\u00ebsa Titan p\u00ebr projektin. \u00c7do shoq\u00ebrues mund t\u00eb aplikoj\u00eb p\u00ebr marrjen falas t\u00eb dy token\u00ebve me interface USB-C ose USB-A. Tokeni i dyt\u00eb d\u00ebrgohet si rezerv\u00eb n\u00eb rast se i pari prishet ose humbet, p\u00ebr t\u00eb minimalizuar rrezikun e humbjes s\u00eb qasjes n\u00eb repositor dhe p\u00ebr t\u00eb \u00e7liruar zhvilluesit nga nevoja p\u00ebr t\u00eb kaluar n\u00ebp\u00ebr nj\u00eb procedur\u00eb t\u00eb komplikuar rikuperimi aksesit. <\/p>\n
P\u00ebr fat t\u00eb keq, token\u00ebt mund t\u00eb d\u00ebrgohen vet\u00ebm n\u00eb Austri, Belgjik\u00eb, Kanada, Franc\u00eb, Gjermani, Itali, Japoni, Spanj\u00eb, Zvic\u00ebr, Mbret\u00ebri t\u00eb Bashkuar dhe SHBA. Shoq\u00ebruesit nga vende t\u00eb tjera mund t\u00eb blejn\u00eb vet\u00eb token\u00eb q\u00eb p\u00ebrputhen me specifikimin FIDO U2F, p\u00ebr shembull, token\u00ebt Yubikey dhe Thetis jan\u00eb t\u00eb p\u00ebrshtatsh\u00ebm. Si alternativ\u00eb, \u00ebsht\u00eb gjithashtu e mundur t\u00eb p\u00ebrdoren aplikacione p\u00ebr autentifikim t\u00eb bazuara n\u00eb fjal\u00ebkalime p\u00ebrkohshme q\u00eb mb\u00ebshtesin protokollin TOTP, si\u00e7 jan\u00eb Authy, Google Authenticator dhe FreeOTP. <\/p>\n
Iniciativa nuk kaloi pa incidente. Autori i paket\u00ebs Atomicwrites, e cila ka 6 milion shkarkime n\u00eb muaj dhe 38 milion n\u00eb 6 muaj, nuk d\u00ebshiroi t\u00eb kalonte n\u00eb autentifikimin me dy faktor\u00eb dhe p\u00ebr t\u00eb p\u00ebrjashtuar paket\u00ebn e tij nga lista e atyre kritikisht t\u00eb r\u00ebnd\u00ebsishme, p\u00ebrpiqej t\u00eb resetonte num\u00ebruesin e shkarkimeve. P\u00ebr ta resetuar, ai fillimisht fshiu paket\u00ebn dhe m\u00eb pas ngarkoi nj\u00eb version t\u00eb ri. Pritej q\u00eb nj\u00eb manipulim i till\u00eb vet\u00ebm do ta resetonte num\u00ebruesin, por p\u00ebr habi t\u00eb zhvilluesit, t\u00eb gjitha versionet e vjetra u fshin\u00eb nga depoja, duke shkaktuar probleme p\u00ebr projektet q\u00eb varen nga biblioteka, t\u00eb cilat disa zhvillues i krahasuan me incidentin pas fshirjes s\u00eb paket\u00ebs left-pad n\u00eb NPM. <\/p>\n
Problemi u p\u00ebrkeq\u00ebsua nga fakti se pas fshirjes, autori i atomicwrites nuk mundi t\u00eb ngarkonte versionet e vjetra, t\u00eb cilat u rikuperuan vet\u00ebm dit\u00ebn tjet\u00ebr pas nd\u00ebrhyrjes s\u00eb administrator\u00ebve t\u00eb PyPI. Pas ngjarjes, autori i paket\u00ebs vendosi t\u00eb ndalonte zhvillimin e atomicwrites dhe t\u00eb kalonte paket\u00ebn n\u00eb statusin e mbetjeve t\u00eb vjetra. Si arsye u p\u00ebrmend se ai zhvillon projektin si nj\u00eb hobbi n\u00eb koh\u00ebn e lir\u00eb dhe se shfaqja e k\u00ebrkesave shtes\u00eb, q\u00eb komplikohet puna, nuk ia vlen koha e shpenzuar p\u00ebr t\u00eb ofruar paket\u00ebn me nj\u00eb popullaritet t\u00eb till\u00eb falas. Autori i atomicwrites pretendojn\u00eb se do t\u00eb preferonte t\u00eb shkruante kod p\u00ebr arg\u00ebtim, dhe t\u00eb kujdesesh p\u00ebr sigurin\u00eb shtes\u00eb nga sulmet e keqb\u00ebr\u00ebsve mund t\u00eb jet\u00eb nj\u00eb detyr\u00eb q\u00eb do ta merrte kur paguhet p\u00ebr k\u00ebt\u00eb. <\/p>\n
Biblioteka atomicwrites p\u00ebrmban rreth 200 rreshta kodi dhe ofron funksione p\u00ebr shkrimin atomar t\u00eb skedar\u00ebve. Si z\u00ebvend\u00ebsim, mund t\u00eb p\u00ebrdoren thirrjet standarde os.replace dhe os.rename (operacioni reduktohet n\u00eb shkrimin n\u00eb nj\u00eb skedar me em\u00ebr p\u00ebrkoh\u00ebsor dhe rinovimin n\u00eb skedarin p\u00ebrfundimtar pas p\u00ebrfundimit). \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"