2FA е безбедносен метод за управување со идентитет и пристап кој бара две форми на идентификација.
Минатата година ги споделуваме вестите тука на блогот дека развивачите на складиштето на пакети PyPI работеле на транзиција на PyPI на задолжителна двофакторна автентикација за критичните пакети.
Причината за спомнувањето на ова е тоа транзицијата беше веќе завршена пред неколку дена А преку соопштение, програмерите ја објавија и одлуката за преместување на сите кориснички сметки кои одржуваат барем еден проект или се дел од организација која избира пакети за задолжителна употреба на двофакторна автентикација.
Користење на двофакторна автентикација (попознат како 2FA) е затоа што складиштето официјален софтвер за Python, PyPI, стана цел на бројни напади на синџирот на снабдување во последниве години, во некои од кои хакери ги компромитираат сметките за одржување за да внесат злонамерен код во проектите.
При спроведување на 2FA за одржувачите на проектот, PyPI сака да спречи напади за преземање сметка, со што се уверува заедницата дека само луѓето поврзани со проект можат да поставуваат, менуваат или отстрануваат код.
Денес, како дел од тие долгорочни напори за заштита на екосистемот на Python, објавуваме дека секоја сметка што ја одржува кој било проект или организација на PyPI ќе треба да овозможи 2FA на нивната сметка до крајот на 2023 година.
Отсега до крајот на годината, PyPI ќе започне да добива пристап до одредени функции на страницата врз основа на употребата на 2FA. Исто така, можеме да започнеме да избираме одредени корисници или проекти за рана примена.
Како таква, употребата на двофакторна автентикација зголемување на заштитата на процесот на развој и ќе ги спречи проектите да прават злонамерни промени како резултат на протекување акредитиви, користење на истата лозинка на компромитирана локација, хакирање во локалниот систем на развивачот или користење методи на социјално инженерство.
Добивањето пристап од напаѓачите како резултат на киднапирање сметка е една од најопасните закани, бидејќи во случај на успешен напад, злонамерните промени може да се заменат со други производи и библиотеки кои го користат компромитираниот пакет како зависност.
Како претпочитан метод за двофакторна автентикација, се декларира шема базирана на токени хардверски уреди кои поддржуваат FIDO U2F и протоколот WebAuthn, кои ви овозможува да постигнете повисоко ниво на безбедност во споредба со генерирањето еднократни лозинки.
Покрај токените, можете да користите и еднократни апликации за автентикатор базирани на лозинка кои го поддржуваат протоколот TOTP, како што се Authy, Google Authenticator и FreeOTP. Кога преземаат пакети, програмерите исто така се охрабруваат да се префрлат на методот за автентикација „Доверливи издавачи“ заснован на стандардот OpenID Connect (OIDC) или да користат токени на API.
Многу корисници најверојатно ќе имаат рок од шест месеци да ја применат дополнителната мерка за автентикација на нивната сметка, со плановите да се направи 2FA задолжителен до крајот на оваа година. Официјалниот блог пост од складиштето на Python објаснува повеќе:
„Помеѓу сега и крајот на годината, PyPI ќе започне да добива пристап до одредени функции на страницата засновани на употребата на 2FA. Исто така, можеме да започнеме да избираме одредени корисници или проекти за рана апликација“.
Треба да се спомене дека како таков Корисничката транзиција се планира да биде завршена до крајот на 2023 година. Пред истекот на рокот, ќе има постепено ограничување на функционалноста достапно за програмерите кои не овозможиле двофакторна автентикација. Дополнително, за одредени категории корисници, однапред ќе се применува барањето за овозможување двофакторна автентикација.
Конечно, можеме да кажеме дека одлуката на PyPI да го направи 2FA задолжителен за сите корисници кои одржуваат проект или организација на платформата е чекор во вистинската насока за подобрување на безбедноста.
Ако сте заинтересирани да дознаат повеќе за тоа, можете да ги проверите деталите На следниот линк.
Биди прв да коментираш