Dans le cadre de la campagne visant à rendre obligatoire l’authentification à deux facteurs pour les projets critiques, le Python Package Index distribuera 4 000 clés de sécurité Google Titan aux développeurs.

PyPI, le plus grand gestionnaire de paquets pour les bibliothèques Python et les composants logiciels, a décidé de rendre obligatoire l’authentification à deux facteurs pour les responsables de projets Python « critiques ». L’authentification à deux facteurs doit être activée pour que les développeurs puissent publier, mettre à jour ou modifier leurs projets. Cette exigence protégerait les développeurs contre les prises de contrôle de compte résultant d’informations d’identification volées. Il y a eu de nombreux cas d’attaques de la chaîne d’approvisionnement où des attaquants ont pris le contrôle de référentiels de code et détourné des bibliothèques logicielles et des modules hébergés sur des gestionnaires de paquets populaires.

La désignation « critique » est attribuée à tout projet PyPI représentant le top 1% des téléchargements au cours des six derniers mois. Selon le tableau de bord publié par PyPI, plus de 3 800 projets PyPI et 8 200 comptes d’utilisateurs ont été identifié comme critique. Il y a actuellement 28 336 utilisateurs qui ont volontairement activé l’authentification à deux facteurs.

« S’assurer que les projets les plus largement utilisés disposent de ces protections contre la prise de contrôle de compte est une étape vers nos efforts plus larges pour améliorer la sécurité générale de l’écosystème Python pour tous les utilisateurs de PyPI », a déclaré PyPI. administrateurs annoncés.

La décision d’imposer l’authentification à deux facteurs est une tentative d’améliorer la sécurité de la chaîne d’approvisionnement de l’écosystème Python et fait écho à une décision similaire de GitHub de rendre obligatoire l’authentification à deux facteurs plus tôt cette année;. Reconnaissant que les attaquants ciblent de plus en plus les bibliothèques sur npm, l’équivalent JavaScript de PyPI, GitHub a inscrit automatiquement les mainteneurs des 100 meilleurs paquets npm avec authentification à deux facteurs en février.