I PyPI har möjligheten att publicera paket utan bindning till lösenord och API-token implementerats

I Python-paketarkivet PyPI (Python Package Index) finns det nu möjlighet att använda en ny säker publiceringsmetod för paket, vilket gör det möjligt att undvika att lagra fasta lösenord och API-token i externa system (t.ex. GitHub Actions). Den nya autentiseringsmetoden kallas ‘Trusted Publishers’ och syftar till att lösa problemet med publicering av skadliga uppdateringar som kan uppstå till följd av kompromettering av externa system och att förbestämda lösenord eller token hamnar i orätta händer.

Den nya autentiseringsmetoden är baserad på standarden OpenID Connect (OIDC), som innebär användning av kortlivade autentiseringstoken som utbyts mellan externa tjänster och PyPI-katalogen för att bekräfta publiceringsoperationen av ett paket istället för att använda traditionella inloggningsuppgifter eller manuellt genererade permanenta API-token. Möjligheten att använda ‘Trusted Publishers’-mekanismen har redan implementerats för handlers som körs i GitHub Actions. Stöd för Trusted Publishers förväntas också implementeras för andra externa tjänster i framtiden.

Tillhörande paket kan på PyPI ange förtroende för identifierare som tillhandahålls av externa OpenID-leverantörer (IdP, OpenID Connect Identity Provider), som den externa tjänsten kommer att använda för att begära kortlivade token från PyPI. De genererade OpenID Connect-token bekräftar kopplingen mellan projektet och hanteraren, vilket gör att PyPI kan utföra ytterligare verifiering av metadata, till exempel att kontrollera att det publicerade paketet överensstämmer med ett visst arkiv. Token lagras inte, är kopplade till specifika API:er och upphör automatiskt att gälla efter en kort livslängd.

Ytterligare kan nämnas Sonatypes rapport som innehåller information om upptäckten av 6933 skadliga paket i PyPI-katalogen i mars 2023. Totalt har antalet identifierade skadliga paket i PyPI överstigit 115 000 sedan 2019. Största delen av de skadliga paketen maskerar sig som populära bibliotek genom typkollisionsmetoden (där liknande namn används, som skiljer sig med enstaka tecken, exempelvis exampl istället för example, djangoo istället för django, pyhton istället för python, osv.) — angripare räknar med att lura ouppmärksamma användare som gjort stavfel eller inte lagt märke till skillnader i namnet vid sökning. De skadliga åtgärderna handlar vanligtvis om att skicka konfidentiell information som hittas på det lokala systemet till följd av identifiering av standardfiler med lösenord, åtkomstnycklar, kryptovaluta plånböcker, tokens, session-cookie och annan konfidentiell information.

Källa: opennet.ru