Bekräftelse av enhetsbyte införs i PyPI

Utvecklarna av Python-paketregistret PyPI (Python Package Index) har implementerat ett extra steg för verifiering vid inloggning, som kräver bekräftelse av åtgärden via e-post om inloggning sker från en enhet eller webbläsare som tidigare inte använts. Bekräftelsen krävs som ett komplement till den befintliga tvåfaktorsautentiseringen som kräver inmatning av en engångskod (TOTP – Time-based One-Time Password) förutom vanliga inloggningsuppgifter. Vid användning av WebAuthn- eller Passkeys-baserade autentiseringstoken som andra autentiseringselement krävs ingen ytterligare bekräftelse via e-post.

Anledningen till att den nya verifieringen har lagts till är att öka skyddet mot phishing. Nyligen har angripare börjat använda tvåfaktorsautentisering för att komma förbi skyddet genom transparent proxyering av trafik från phishing-webbplatser till den verkliga webbplatsen pypi.org, vilket ger användaren en känsla av att arbeta med det verkliga PyPI-kataloget. Inloggningssidan proxys också, och angriparna kontrollerar inte bara det initialt inmatade inloggningslösenordet, utan även svaret på verifieringsfrågan för den andra autentiseringfaktorn.

En extra begäran om bekräftelse på behörighet med en varning om inloggning från en ny enhet kommer att förhindra kompromettering i händelse av att TOTP-koden och lösenordet blir avlyssnat, samt varna utvecklare som inte har ändrat sin hårdvara. Under proxyprocessen kan angriparna fånga konto-uppgifterna och den inmatade TOTP-engångskoden, men de kan inte påverka bekräftelsen via e-post, som kräver ett klick på länken som anges i brevet.

Om användaren har fått en verifierings-e-post men inte har försökt logga in på PyPI-katalogen, bör man inte klicka på länken. Om en inloggningsförsök har gjorts men enheten inte har förändrats, bör man kontrollera om försöket gjordes via en phishing-webbplats, och om en attack upptäcks bör man omedelbart ändra sitt lösenord och kontrollera aktiviteten på kontot.

Källa: opennet.ru