URL: https://linuxfr.org/users/serge_ss_paille/journaux/pypi-et-les-projets-critiques Title: PyPI et les projets critiques Authors: serge_sans_paille Date: 2022年07月11日T09:54:44+02:00 License: CC By-SA Tags: pypi, sécurité et chaine_d'approvisionnement Score: 32 Demat' iNal, En fin de semaine dernière, je reçois un courriel (oh, ce terme doucement désuet) des mainteurs de PyPI me félicitant pour mes trois projets promus "projets critiques", ce qui, à l'instar de mère-grand félicitant un jeune homme d'être costaud, puis s'empressant de lui demander de ranger sa valise dans le wagon TGV, me demande de mettre en place une authentification à deux-facteurs pour mon compte PyPI. Petit retour sur cette expérience. Déjà on comprend la motivation : Il y a eu plusieurs attaques par le passé sur de dépôt PyPI permettant de monter des "supply chain attack", certaines se reposant sur la prise de contrôle d'un compte de mainteneur sur PyPI [0], les mainteneurs du dépôt font de leur mieux. Ensuite la 2FA, comme c'est souvent le cas avec la sécu, ça fait bien sûr un peu ch**r car ça rajoute une (petite) étape entre nous et le code. Un peu comme les tests. Mais au final ça ajoute une bonne propriété à notre projet (un peu comme les tests). Reste qu'il faut la mettre en place, et que si ça implique d'ajouter une appli sur le smartphone, c'est pour moi assez rédhibitoire. Heureusement ça reste dans le cas de PyPI assez ouvert, et on peut soit 1. utiliser une appli sur un malinphone 2. passer par un générateur d'OTP se basant sur un secret partagé du genre [1] 3. utiliser un générateur matériel gracieusement fourni par PyPI [2] Je trouve l'effort de diversité ici très louable, et ça diminue bien le frein d'entrée. En papillonant sur la toile, je me suis rendu compte que certains développeurs ne voient pas d'un bon œil le fait que leur projet reçoivent une telle promotion, associée à de nouvelles contraintes dont [3]. L'argumentaire est intéressant : je donne déjà de mon temps pour dev un projet, svp pas de poids en plus pour moi, je fais ça pour le plaisir. Et si une entreprise repose sur mon taf et a besoin de propriétés "sécu" qu'elle n'hésite pas à me contacter. On notera que pour être désigné comme projet critique, il faut être parmi les 1% les plus téléchargés d'après https://pypistats.org/ et que l'esquive ici consiste à supprimer le paquet de l'index PyPI puis de le réuploader (avec toutes les versions intermédiaires si on est sympa) pour remettre les compteurs à zéro (temporairement). [0] https://www.reddit.com/r/Python/comments/uwhzkj/i_think_the_ctx_package_on_pypi_has_been_hacked/ [1] https://www.nongnu.org/oath-toolkit/oathtool.1.html [2] https://pypi.org/security-key-giveaway/ [3] https://nitter.net/untitaker/status/1545465529187565569