Utvecklarna av Python-paketets repository PyPI (Python Package Index) har implementerat skydd mot projektkapning genom att köpa frigjorda domÀner som anges i kontoinstÀllningarna. Attacken gÄr ut pÄ att angripare letar efter konton kopplade till e-postadresser med utgÄngna domÀner, registrerar den frigjorda domÀnen pÄ sig sjÀlva, omdirigerar e-posttrafik till sin egen server och, nÀr de fÄtt kontroll över e-posten, initierar processen för att ÄterstÀlla glömt lösenord. Under 2022 erhölls kontroll över Python-paketet ctx pÄ detta sÀtt.
För att skydda mot sÄdana attacker har PyPI infört daglig övervakning av aktiva domÀnnamn, som anvÀnds i e-postadresser. E-postadresser med domÀner vars giltighet har gÄtt ut, överförs nu automatiskt till statusen som icke bekrÀftade. För icke bekrÀftade adresser tillÄter PyPI inte att ÄterstÀllningsoperationen genomförs. Bara kontoÀgaren som kÀnner till lösenordet kan initiera en ny verifiering.
Sedan början av juni har mer Àn 1800 e-postadresser identifierats i PyPIs anvÀndardatabas, kopplade till domÀner som inte förnyats i tid. FrÄn och med den 1 januari 2024 har katalogen PyPI övergÄtt till obligatorisk tvÄfaktorsautentisering, vilken anvÀndare mÄste aktivera för att kunna utföra ÄtgÀrder för att hantera projekt. För Àldre anvÀndare, som skapats före införandet av obligatorisk tvÄfaktorsautentisering, kvarstÄr möjligheten att ÄterstÀlla lösenordet via e-postbekrÀftelse, vilket inte krÀver tvÄfaktorsverifiering.
KĂ€lla: opennet.ru
