PyPI agora permite que você publique pacotes sem estar vinculado a senhas e tokens

Alguns dias atrás, veio a notícia de que o repositório de pacotes Python PyPI (Python Package Index) já fornece a capacidade de usar um novo método seguro de publicação de pacotes, o que elimina a necessidade de armazenar senhas rígidas e tokens de acesso à API em sistemas externos (por exemplo, no GitHub Actions).

O novo método de autenticação tem o nome'Editores confiáveis' e é projetado para resolver o problema de atualizações maliciosas lançadas como resultado de sistemas externos comprometidos e senhas ou tokens predefinidos caindo em mãos erradas.

A partir de hoje, os mantenedores de pacotes PyPI podem adotar um novo método de publicação mais seguro que não requer senhas de longa duração ou tokens de API para compartilhar com sistemas externos.

É mencionado que este novo método de autenticação confere vantagens significativas de usabilidade e segurança em comparação com os outros métodos tradicionais de autenticação PyPI:

• Usabilidade: Com a publicação confiável, os usuários não precisam mais criar tokens de API manualmente no PyPI e copiá-los e colá-los em seu provedor de CI. A única etapa manual é configurar o editor no PyPI.
• Segurança: os tokens regulares da API PyPI são de longa duração, o que significa que um invasor que compromete o lançamento de um pacote pode usá-lo até que seu usuário legítimo o notifique e o revogue manualmente. Da mesma forma, fazer upload com uma senha significa que um invasor pode fazer upload de qualquer projeto associado à conta. A publicação confiável evita esses dois problemas: os tokens emitidos expiram automaticamente e são limitados apenas aos pacotes para os quais estão autorizados a carregar.

Relativamente a este novo método de autenticação, refere-se que é baseado no padrão OpenID Connect (OIDC), que usa tokens de autenticação com limite de tempo trocados entre serviços externos e o diretório PyPI para validar uma operação de publicação de pacote, em vez de usar um login/senha tradicional ou uma API persistente gerada manualmente por tokens de acesso.

“Publicação confiável” é nosso termo para usar o padrão OpenID Connect (OIDC) para trocar tokens de identidade de curta duração entre um serviço terceirizado confiável e o PyPI. Esse método pode ser usado em ambientes automatizados e elimina a necessidade de usar combinações de nome de usuário/senha ou tokens de API gerados manualmente para autenticar com PyPI ao publicar.

Por outro lado, também é mencionado que os mantenedores de pacotes podem, do lado do PyPI, confiar em identificadores fornecidos a OpenID Providers (IdPs) externos, que o serviço externo usará para solicitar tokens não ativos. de PyPI.

Os tokens OpenID Connect gerados confirmam a relação entre o projeto e o controlador, o que permite que o PyPI execute verificação adicional de metadados, como verificar se o pacote publicado está associado a um repositório específico. Os tokens não são persistentes, estão vinculados a APIs específicas e expiram automaticamente após um curto tempo de vida.

Em vez disso, os mantenedores do PyPI podem configurar o PyPI para confiar em uma identidade fornecida por um determinado provedor de identidade (IdP) do OpenID Connect. Isso permite que PyPI verifique e delegue confiança a essa identidade, que é autorizada a solicitar tokens de API de escopo limitado e de curta duração do PyPI. Esses tokens de API nunca precisam ser armazenados ou compartilhados, giram automaticamente na expiração rápida e fornecem um link verificável entre um pacote publicado e sua origem.

Atualmente a a capacidade de usar o mecanismo "Editores confiáveis" Já está implementado e funcionando. para controladores iniciados no GitHub Actions. Por último, mas não menos importante, também é mencionado que a compatibilidade com Editores Confiáveis ​​para outros serviços externos é esperada no futuro.

Finalmente se você estiver interessado em saber mais sobre isso, você pode verificar os detalhes no link a seguir.