O Python Package Index (PyPI) acaba de anunciar que exigirá que todas as contas que gerenciam um projeto na plataforma tenham a autenticação de dois fatores (2FA) ativada até o final do ano. Assim, todos os editores de software precisarão usar esse modo de autenticação.
PyPI é um repositório de software para pacotes criados na linguagem de programação Python. O índice hospeda 200.000 pacotes, permitindo que os desenvolvedores encontrem pacotes existentes que satisfaçam vários requisitos de projeto, economizando tempo e esforço.
PyPI e a autenticação 2FA para todos os editores de software
A equipe PyPI diz que a decisão de tornar o 2FA obrigatório em todas as contas faz parte de seu compromisso de longo prazo para aumentar a segurança na plataforma, complementando as medidas anteriores tomadas nessa direção, como bloquear credenciais comprometidas e oferecer suporte a tokens de API.
Notícias Relacionadas
Virtual
VirtualBox 7.1 Beta atualiza GUI modernizada e implanta suporte Wayland para compartilhamento da área de transferência
O novo VirtualBox 7.1 Beta atualiza GUI modernizada e implanta suporte Wayland para compartilhamento da área de transferência. A Oracle lançou a primeira versão beta pública de seu software de virtualização VirtualBox 7.1. O próximo lançamento do VirtualBox também contará com a GUI renovada baseada no Qt 6, novo mecanismo NAT com suporte a IPv6 […]
ASUS ROG Ally X já recebe patches do Linux
O dispositivo de jogos ASUS ROG Ally X já recebe patches do Linux. Neste fim de semana, o ASUS ROG Ally X começou a ser enviado como uma versão atualizada do console de jogos portátil ASUS ROG Ally, lançado no ano passado. O ASUS ROG Ally X ainda é alimentado pelo AMD Ryzen Z1 Extreme SoC e, em […]
Um benefício da proteção 2FA é o risco reduzido de ataques à cadeia de suprimentos. Esses tipos de ataques ocorrem quando um ator mal-intencionado obtém o controle da conta de um mantenedor de software e adiciona um backdoor ou malware a um pacote usado como dependência em vários projetos de software.
Dependendo da popularidade do pacote, esses ataques podem afetar milhões de usuários. Embora os desenvolvedores sejam responsáveis por inspecionar minuciosamente os blocos de construção de seus projetos, a medida do PyPI deve facilitar a minimização desse tipo de problema. Além disso, o repositório do projeto Python sofreu com uploads desenfreados de malware, falsificação de pacotes famosos e reenvio de código malicioso usando contas sequestradas nos últimos meses.
Dado o grave problema, a PyPI teve que pausar temporariamente os registros de novos usuários e projetos na semana passada até que uma solução de defesa eficaz pudesse ser desenvolvida e implementada. Assim, a proteção 2FA ajudará a mitigar o problema de ataques de controle de conta e também deve definir um limite de quantas novas contas um usuário suspenso pode criar para recarregar pacotes maliciosos.
Estrada para 2FA
A exigência de configurar 2FA em todas as contas de mantenedor de projetos e organizações tem prazo até o final de 2023. Nos meses seguintes, recomenda-se que os usuários afetados preparem e habilitem a medida de segurança adicional usando uma chave de hardware ou um aplicativo de autenticação.
As coisas mais importantes que você pode fazer para se preparar são habilitar o 2FA para sua conta o mais rápido possível, seja com um dispositivo de segurança (preferencial) ou um aplicativo de autenticação , e passar a usar Editores Confiáveis (preferencial) ou tokens de API para faça o upload para o PyPI.
A equipe PyPI diz que o trabalho preparatório feito nos meses anteriores, como a introdução do “Trusted Publishing”, combinado com iniciativas paralelas de plataformas como o GitHub, que ajudaram os desenvolvedores a se familiarizarem com os requisitos 2FA, tornam este ano um excelente momento para introduzir a medida.
