Utvecklarna av Python-paketförrÄdet PyPI (Python Package Index) har meddelat att de inför obligatorisk tvÄfaktorsautentisering för alla anvÀndare. Utan aktivering av tvÄfaktorsautentisering kommer anvÀndare inte lÀngre att kunna ladda upp filer eller utföra ÄtgÀrder relaterade till hantering av sina projekt. Tidigare hade tvÄfaktorsautentisering tvingats aktiveras för anvÀndarkonton kopplade till minst ett projekt eller som ingick i uppföljande paket för organisationer.
AnvÀndningen av tvÄfaktorsautentisering kommer att förstÀrka skyddet för utvecklingsprocessen och sÀkra projekt mot skadliga Àndringar till följd av dataintrÄng, anvÀndning av samma lösenord pÄ ett komprometterat webbplats, intrÄng i utvecklarens lokala system eller tillÀmpning av social ingenjörskonst. Att bedragare fÄr tillgÄng genom kontoskaper Àr ett av de mest farliga hoten, eftersom en framgÄngsrik attack kan leda till införande av skadliga Àndringar i andra produkter och bibliotek som anvÀnder den komprometterade paketet som beroende.
Den föredragna metoden för tvÄfaktorsautentisering Àr baserad pÄ kompatibla hÄrdvarutokens enligt FIDO U2F-specifikationen och protokollet WebAuthn, vilket möjliggör en högre sÀkerhetsnivÄ jÀmfört med generering av engÄngslösenord. Förutom tokens kan Àven autentiseringsappar baserade pÄ engÄngslösenord som stöder TOTP-protokollet, som Authy, Google Authenticator och FreeOTP, anvÀndas. Vid uppladdning av paket rekommenderas utvecklare ocksÄ att övergÄ till metoden 'Trusted Publishers' baserad pÄ OpenID Connect (OIDC)-standarden eller anvÀnda API-tokens.
KĂ€lla: opennet.ru
