PyPI ievieš jaunu drošības cilni un skaidrākus brīdinājumus par pakotņu izcelsmi
Python pakotņu krātuve PyPI pabeigusi lietotāja saskarnes atjauninājumus: projektu lapās tagad ir drošības cilne un brīdinājumi par pakotņu izcelsmes neatbilstībām. Izmaiņas paredzētas, lai lietotāji labāk spētu novērtēt, no kurienes faktiski nākuši laidiena faili.
Python programmēšanas valodas oficiālā pakotņu krātuve PyPI ir pabeigusi un ieviesusi atjauninātu lietotāja saskarni, kas skaidrāk parāda drošības signālus. Par plānotajām izmaiņām PyPI komanda paziņoja jūlijā; tās veidotas, balstoties uz pētījumu ar Python kopienas pārstāvjiem. Mērķis ir palīdzēt lietotājiem saprast, vai lejupielādējamie faili nākuši no projekta uzturētājiem, ņemot vērā, ka krātuve kļuvusi par aizvien pievilcīgāku mērķi ļaunprātīgiem uzbrucējiem.
Jaunā drošības cilne
Projektu lapās pievienota atsevišķa drošības cilne, kas parāda laidiena izcelsmes (provenances) stāvokli un katra faila digitālos apliecinājumus jeb atestācijas. Šādas atestācijas PyPI ieviesa 2024. gadā kā pārbaudāmu ierakstu par faila izcelsmi. Atbalstīti divi veidi: „PyPI Publish” apliecina, ka failu publicējis PyPI uzticamais publicētājs, bet „SLSA Build Provenance” saista failu ar konkrētu pirmkoda izmaiņu, būvēšanas platformu un instrukcijām.
Parasti laidiens ir vienā no diviem stāvokļiem. „Pilna izcelsme” nozīmē, ka atestācijas ir visiem laidiena failiem. „Nav izcelsmes” nozīmē, ka to nav nevienam failam; tas raksturīgs vecākiem laidieniem vai projektiem, kas vēl nav iestatījuši uzticamo publicēšanu. Tas nenozīmē, ka fails ir ļaunprātīgs, bet gan to, ka tā izcelsmi nevar kriptogrāfiski pārbaudīt.
Brīdinājumi
Par neparastiem gadījumiem PyPI rāda izcelta brīdinājumus:
- nepilna izcelsme — atestācijas ir tikai daļai failu;
- pretrunīga izcelsme — faili nāk no dažādām būvēšanas sistēmām vai repozitorijiem;
- izcelsmes maiņa — faili nāk no cita repozitorija vai darbplūsmas nekā iepriekšējais laidiens;
- izcelsmes zudums — projekts iepriekš publicēja ar atestācijām, bet tagad bez tām.
Tie var liecināt par uzbrukumu, taču bieži tiem ir likumisks izskaidrojums, tāpēc pirms instalēšanas ieteicams pārbaudīt laidiena piezīmes.
Citi uzlabojumi
Pārveidota arī projekta lapa, failu cilne un laidienu vēsture. Failu sarakstā var meklēt un filtrēt, redzams katra faila izcelsmes stāvoklis, bet vēlu augšupielādētie faili atzīmēti ar brīdinājuma ikonu. Darbu finansējis Open Source Security Foundation, bet īstenojis uzņēmums Kabu Creative.
