Utvecklarna av Python-paketförrÄdet PyPI har offentliggjort en plan för att införa obligatorisk tvÄfaktorsautentisering för paket som tillhör kategorin kritiskt viktiga. Vikten faststÀlls utifrÄn antalet nedladdningar och förÀndringen kommer att tillÀmpas pÄ konton för underhÄllare och Àgare av projekt relaterade till 1% av paketen som leder i antal nedladdningar under de senaste 6 mÄnaderna. Med hÀnsyn till att PyPI-förrÄdet för nÀrvarande innehÄller över 350 000 paket, kommer tvÄfaktorsautentisering att tillÀmpas pÄ cirka 3 500 paket. För att kontrollera om ett konto hamnar pÄ listan har en sÀrskild sida förberetts. Det exakta datumet för implementeringen av obligatorisk tvÄfaktorsautentisering har Ànnu inte bestÀmts, men det antas att detta kommer att ske inom de kommande mÄnaderna.
Till skillnad frÄn övergÄngen till tvÄfaktorsautentisering för RubyGems, NPM och GitHub, kommer PyPI att införa en modell som ursprungligen förvÀntar sig anvÀndningen av hÄrdvarutoken med Ätkomstnycklar. Anledningen till den rekommenderade anvÀndningen av token och protokollet WebAuthn nÀmns för att det erbjuder en högre sÀkerhet jÀmfört med generering av engÄngslösenord (möjligheten att anvÀnda TOTP istÀllet för token kommer att finnas som ett alternativ).
Token kan erhĂ„llas gratis â Google har sponsrat initiativet och avsatt 4000 Titan-nycklar till projektet. Varje underhĂ„llare kan ansöka om att fĂ„ tvĂ„ gratis token med USB-C eller USB-A grĂ€nssnitt. Den andra token skickas som reserv för att hantera eventuell skada eller förlust av den första, för att minimera risken för accessförlust till förrĂ„det och avlasta utvecklarna frĂ„n att behöva gĂ„ igenom en komplicerad Ă„terstĂ€llningsprocess.
TyvĂ€rr kan token endast skickas till Ăsterrike, Belgien, Kanada, Frankrike, Tyskland, Italien, Japan, Spanien, Schweiz, Storbritannien och USA. Resande frĂ„n andra lĂ€nder kan sjĂ€lva köpa FIDO U2F-specifikationkompatibla token, sĂ„som Yubikey och Thetis token. Alternativt finns det ocksĂ„ möjlighet att anvĂ€nda applikationer för autentisering som baseras pĂ„ engĂ„ngslösenord, som stöder TOTP-protokollet, till exempel Authy, Google Authenticator och FreeOTP.
Initiativet gick inte utan incidenter. Författaren av paketet Atomicwrites, som har 6 miljoner nedladdningar per mÄnad och 38 miljoner pÄ 6 mÄnader, ville inte övergÄ till tvÄfaktorsautentisering och försökte för att utesluta sitt paket frÄn listan över kritiska paket ÄterstÀlla nedladdningsrÀknaren. För att ÄterstÀlla den raderade han först paketet och laddade sedan upp en ny version. Det förvÀntades att en sÄdan manipulation bara skulle ÄterstÀlla rÀknaren, men till utvecklarens förvÄning raderades Àven alla tidigare versioner frÄn förrÄdet, vilket resulterade i problem för projekt som var beroende av biblioteket, vilket vissa utvecklare jÀmförde med incidenten efter borttagningen av paketet left-pad i NPM.
Problemet förvÀrrades av att efter borttagningen kunde författaren av atomicwrites inte ladda upp tidigare versioner, som ÄterstÀlldes först dagen efter ingripande av administratörer pÄ PyPI. Efter det intrÀffade beslutade författaren av paketet att lÀgga ner utvecklingen av atomicwrites och klassificera paketet som förÄldrat. SkÀlet som nÀmns Àr att han driver projektet som en hobby pÄ sin fritid, och att nya krav som komplicerar arbetet inte stÄr i proportion till tiden som lÀggs pÄ att underhÄlla ett sÄ populÀrt paket gratis. Författaren av atomicwrites hÀvdar att han skulle föredra att bara skriva kod för nöjes skull, medan ansvaret för ytterligare skydd mot intrÄng av illvilliga aktörer kan lÀggas pÄ nÄgon annan nÀr det finns en betalning för det.
Biblioteket atomicwrites innehÄller cirka 200 rader kod och erbjuder funktioner för atomÀr filskrivning. Som alternativ kan standardanropen os.replace och os.rename anvÀndas (operationen innebÀr att skriva till en fil med ett temporÀrt namn och byta namn pÄ den till mÄlfilen nÀr den Àr klar).
KĂ€lla: opennet.ru
