Utvecklarna av Python-paketf\u00f6rr\u00e5det PyPI har offentliggjort en plan f\u00f6r att inf\u00f6ra obligatorisk tv\u00e5faktorsautentisering f\u00f6r paket som tillh\u00f6r kategorin kritiskt viktiga. Vikten fastst\u00e4lls utifr\u00e5n antalet nedladdningar och f\u00f6r\u00e4ndringen kommer att till\u00e4mpas p\u00e5 konton f\u00f6r underh\u00e5llare och \u00e4gare av projekt relaterade till 1% av paketen som leder i antal nedladdningar under de senaste 6 m\u00e5naderna. Med h\u00e4nsyn till att PyPI-f\u00f6rr\u00e5det f\u00f6r n\u00e4rvarande inneh\u00e5ller \u00f6ver 350 000 paket, kommer tv\u00e5faktorsautentisering att till\u00e4mpas p\u00e5 cirka 3 500 paket. F\u00f6r att kontrollera om ett konto hamnar p\u00e5 listan har en s\u00e4rskild sida f\u00f6rberetts. Det exakta datumet f\u00f6r implementeringen av obligatorisk tv\u00e5faktorsautentisering har \u00e4nnu inte best\u00e4mts, men det antas att detta kommer att ske inom de kommande m\u00e5naderna. <\/p>\n
Till skillnad fr\u00e5n \u00f6verg\u00e5ngen till tv\u00e5faktorsautentisering f\u00f6r RubyGems, NPM och GitHub, kommer PyPI att inf\u00f6ra en modell som ursprungligen f\u00f6rv\u00e4ntar sig anv\u00e4ndningen av h\u00e5rdvarutoken med \u00e5tkomstnycklar. Anledningen till den rekommenderade anv\u00e4ndningen av token och protokollet WebAuthn n\u00e4mns f\u00f6r att det erbjuder en h\u00f6gre s\u00e4kerhet j\u00e4mf\u00f6rt med generering av eng\u00e5ngsl\u00f6senord (m\u00f6jligheten att anv\u00e4nda TOTP ist\u00e4llet f\u00f6r token kommer att finnas som ett alternativ). <\/p>\n
\u0422\u043e\u043a\u0435\u043d\u044b \u043c\u043e\u0436\u043d\u043e \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u043e — \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u0432\u044b\u0441\u0442\u0443\u043f\u0438\u043b\u0430 \u0441\u043f\u043e\u043d\u0441\u043e\u0440\u043e\u043c \u0438\u043d\u0438\u0446\u0438\u0430\u0442\u0438\u0432\u044b \u0438 \u0432\u044b\u0434\u0435\u043b\u0438\u043b\u0430 \u0434\u043b\u044f \u043f\u0440\u043e\u0435\u043a\u0442\u0430 4000 \u043a\u043b\u044e\u0447\u0435\u0439 Titan. \u041a\u0430\u0436\u0434\u044b\u0439 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0438\u0439 \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u0434\u0430\u0442\u044c \u0437\u0430\u044f\u0432\u043a\u0443 \u043d\u0430 \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u043e\u0435 \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u0435 \u0434\u0432\u0443\u0445 \u0442\u043e\u043a\u0435\u043d\u043e\u0432 \u0441 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u043c USB-C \u0438\u043b\u0438 USB-A. \u0412\u0442\u043e\u0440\u043e\u0439 \u0442\u043e\u043a\u0435\u043d \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0440\u0435\u0437\u0435\u0440\u0432\u043d\u043e\u0433\u043e \u043d\u0430 \u0441\u043b\u0443\u0447\u0430\u0439 \u043f\u043e\u043b\u043e\u043c\u043a\u0438 \u0438\u043b\u0438 \u043f\u043e\u0442\u0435\u0440\u0438 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043c\u0438\u043d\u0438\u043c\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0440\u0438\u0441\u043a \u043f\u043e\u0442\u0435\u0440\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044e \u0438 \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432 \u043e\u0442 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u043e\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u0441\u043b\u043e\u0436\u043d\u0443\u044e \u043f\u0440\u043e\u0446\u0435\u0434\u0443\u0440\u0443 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430. <\/p>\n
Tyv\u00e4rr kan token endast skickas till \u00d6sterrike, Belgien, Kanada, Frankrike, Tyskland, Italien, Japan, Spanien, Schweiz, Storbritannien och USA. Resande fr\u00e5n andra l\u00e4nder kan sj\u00e4lva k\u00f6pa FIDO U2F-specifikationkompatibla token, s\u00e5som Yubikey och Thetis token. Alternativt finns det ocks\u00e5 m\u00f6jlighet att anv\u00e4nda applikationer f\u00f6r autentisering som baseras p\u00e5 eng\u00e5ngsl\u00f6senord, som st\u00f6der TOTP-protokollet, till exempel Authy, Google Authenticator och FreeOTP. <\/p>\n
Initiativet gick inte utan incidenter. F\u00f6rfattaren av paketet Atomicwrites, som har 6 miljoner nedladdningar per m\u00e5nad och 38 miljoner p\u00e5 6 m\u00e5nader, ville inte \u00f6verg\u00e5 till tv\u00e5faktorsautentisering och f\u00f6rs\u00f6kte f\u00f6r att utesluta sitt paket fr\u00e5n listan \u00f6ver kritiska paket \u00e5terst\u00e4lla nedladdningsr\u00e4knaren. F\u00f6r att \u00e5terst\u00e4lla den raderade han f\u00f6rst paketet och laddade sedan upp en ny version. Det f\u00f6rv\u00e4ntades att en s\u00e5dan manipulation bara skulle \u00e5terst\u00e4lla r\u00e4knaren, men till utvecklarens f\u00f6rv\u00e5ning raderades \u00e4ven alla tidigare versioner fr\u00e5n f\u00f6rr\u00e5det, vilket resulterade i problem f\u00f6r projekt som var beroende av biblioteket, vilket vissa utvecklare j\u00e4mf\u00f6rde med incidenten efter borttagningen av paketet left-pad i NPM. <\/p>\n
Problemet f\u00f6rv\u00e4rrades av att efter borttagningen kunde f\u00f6rfattaren av atomicwrites inte ladda upp tidigare versioner, som \u00e5terst\u00e4lldes f\u00f6rst dagen efter ingripande av administrat\u00f6rer p\u00e5 PyPI. Efter det intr\u00e4ffade beslutade f\u00f6rfattaren av paketet att l\u00e4gga ner utvecklingen av atomicwrites och klassificera paketet som f\u00f6r\u00e5ldrat. Sk\u00e4let som n\u00e4mns \u00e4r att han driver projektet som en hobby p\u00e5 sin fritid, och att nya krav som komplicerar arbetet inte st\u00e5r i proportion till tiden som l\u00e4ggs p\u00e5 att underh\u00e5lla ett s\u00e5 popul\u00e4rt paket gratis. F\u00f6rfattaren av atomicwrites h\u00e4vdar att han skulle f\u00f6redra att bara skriva kod f\u00f6r n\u00f6jes skull, medan ansvaret f\u00f6r ytterligare skydd mot intr\u00e5ng av illvilliga akt\u00f6rer kan l\u00e4ggas p\u00e5 n\u00e5gon annan n\u00e4r det finns en betalning f\u00f6r det. <\/p>\n