4 000 2FA bezpečnostních klíčů Google Titan pro správce kritických balíčků v PyPI

Google věnoval nadaci Python Software Foundation 4 000 2FA bezpečnostních klíčů Titan pro správce kritických balíčků v PyPI (Python Package Index).

12.7.2022 02:00 | Ladislav Hagara | Komunita

Komentáře

[Salamek]

Příloha:

• Screenshot_2022-07-12_11-04-28.jpg (102236 bytů)

Az na ten maly technicky detail ze neni mozne ty tokeny ziskat kdyz jste z Ceske Republiky... takze zpravicka leda tak na nasrani

[plostenka]

Jak duveryhodne jsou privatni klice cilene darovane reklamni agenturou?

[Radovan]

Úplně stejně jako jakýkoliv jiný produkt libovolné reklamní agentury

[mp]

Více důvěryhodné než vůbec žádné klíče?

[Jiřý]

Svatý Guacamole! Říkal jsem si, co se dneska sakra stalo. Atomicwrites máme jako závislost na systému řízení úloh v mé práci a jeho nasazení doslova začalo selhávat uprostřed dne.

Job control používal úplně stejný soubor requirements.txt po dobu nejméně čtyř let bez problémů, ale najednou se naše verze atomicwrites stala nekompatibilní s verzí asn1crypto, kterou jsme používali. Musel jsem upgradovat atomicwrites z 1.3.0 na 1.4.2, abych nastavil stejný venv, který jsme budovali a používali od roku 2018.

Dokonce jsem zkontroloval PyPI a GitHub repo asn1crypto a neviděl jsem, že by se dělo něco funky. Nenapadlo mě zkontrolovat atomicwrites, protože moje chyba naznačovala, že to byla závislost atomicwrites asn1crypto, která se změnila.

Naprosto divoké věci a naprosto nezodpovědné. Jednou z mých prvních myšlenek, jakmile jsem problém lokálně replikoval, bylo divit se, kolik dalších systémů tam venku se náhle rozbilo kvůli atomicwrites.

[Balm3r]

Jako hezky ze tady places nad nejakym opensource nedodelkem ktery nikdo nikdy netestuje ale souvislost se zpravickou je jaka?

[Kate]

Tak bylo by fajn kdyby kontext v tom postu padl, ale souvislost to má. PyPI teď určil seznam "critical" balíků, a všichni jejich správci budou mít povinnou 2FA. Autorovi Atomicwrites se to nelíbilo, s tím že když dělá zadarmo nějakou práci, nelíbí se mu, když je mu práce přidávána. Aby se nutnosti 2FA vyhnul, zkusil balík odebrat z PyPI a přidat ho zpátky, s tím že to resetuje počítadlo stažení a "critical" flag zmizí. Bohužel se s tím ztratila i historie verzí, a kdokoliv kdo měl pinning na něco staršího než latest verzi měl najednou problém. Dotklo se to mimo jiné tuším HA.

Autor Atomicwrites to s pomocí adminů opravil, ale hodil u toho balíku deprecate flag s tím, že už další vývoj stejně nemá moc smysl (podobné funkcionality se dá v nových verzích Pythonu dosáhnout i se standardní knihovnou)