PyPI запустил вкладку безопасности и более понятные предупреждения о происхождении пакетов
Репозиторий пакетов Python PyPI завершил обновление интерфейса: на страницах проектов появилась вкладка безопасности и предупреждения о нестыковках в происхождении файлов. Изменения помогают пользователям оценить, откуда на самом деле взялись файлы релиза.
PyPI, официальный репозиторий пакетов для языка программирования Python, завершил и запустил обновлённый интерфейс, который нагляднее показывает сигналы безопасности. О планируемых изменениях команда PyPI объявила в июле; они разработаны на основе исследования среди участников сообщества Python. Цель — помочь пользователям понять, поступили ли загружаемые файлы от мейнтейнеров проекта, поскольку репозиторий стал всё более привлекательной целью для злоумышленников.
Новая вкладка безопасности
На страницах проектов появилась отдельная вкладка безопасности, где показано состояние происхождения (provenance) релиза и цифровые аттестации для каждого файла. PyPI ввёл аттестации в 2024 году как проверяемую запись о происхождении файла. Поддерживаются два типа: «PyPI Publish» подтверждает, что файл опубликован доверенным издателем PyPI, а «SLSA Build Provenance» связывает файл с конкретным коммитом исходного кода, платформой сборки и инструкциями.
Обычно релиз находится в одном из двух состояний. «Полное происхождение» означает, что аттестации есть у всех файлов релиза. «Нет происхождения» означает, что их нет ни у одного файла; это типично для старых релизов или проектов, где ещё не настроена доверенная публикация. Это не значит, что файл вредоносен, а лишь то, что его источник нельзя проверить криптографически.
Предупреждения
При необычных данных PyPI показывает заметное предупреждение:
- неполное происхождение — аттестации есть только у части файлов;
- противоречивое происхождение — файлы получены из разных систем сборки или репозиториев;
- смена происхождения — файлы пришли из другого репозитория или рабочего процесса, чем в предыдущем релизе;
- потеря происхождения — проект, ранее публиковавший файлы с аттестациями, теперь загружает их без них.
Это может указывать на взлом учётной записи или конвейера публикации, но часто имеет законное объяснение, поэтому перед установкой рекомендуется изучить примечания к релизу.
Прочие улучшения
Также переработаны страница проекта, вкладка файлов и история релизов. Список файлов можно искать и фильтровать, виден статус происхождения каждого файла, а файлы, загруженные с опозданием, отмечены значком предупреждения. Работа профинансирована Open Source Security Foundation и выполнена компанией Kabu Creative.
