PyPI estuvo cerrado el fin de semana, se exageró el incidente

Después de una suspensión temporal de todos los nuevos usuarios y cargas de paquetes, el repositorio de Python Package Index (PyPI) vuelve a estar en funcionamiento. Muchos notaron que la razón de esto fue la inundación del sitio con una avalancha de paquetes maliciosos, pero un administrador de PyPI señaló que no hubo una avalancha inusual, solo menos personas de lo habitual para combatir la avalancha habitual.

PyPI es el repositorio de software oficial para Python, que atiende a más de 700 000 usuarios y más de 450 000 proyectos según la página de inicio del sitio. Su popularidad ha atraído no solo a los desarrolladores sino también a los piratas informáticos a los que les gusta. Subir paquetes maliciosos El primer paso Violaciones de la cadena de suministro.

Desde la tarde del sábado (UTC), PyPI suspendió temporalmente el registro de nuevos usuarios y proyectos. «El volumen de usuarios maliciosos y proyectos maliciosos creados en el índice durante la última semana supera nuestra capacidad de responder de manera oportuna, especialmente con varios administradores de PyPI en licencia», escribieron los administradores del sitio. en un informe de incidente.

La declaración causó revuelo en la comunidad de seguridad, y muchos sitios de noticias informaron que el sitio había sido víctima de una ola anómala de ataques. vicioso actividad o incluso uno completamente ataque cibernetico. Y la empresa de investigación Checkmarx caracterizado en un blog La situación es parte de un aumento de «actores que liberan cantidades abrumadoras de paquetes maliciosos a múltiples registros de código abierto».

Pero Ee Durbin, directora de infraestructura de Python Software Foundation, le dice a Dark Reading que las circunstancias reales del cierre fueron mucho menos dramáticas de lo que parecían.

«Este fin de semana fue solo una cuestión de habilidad humana», dice Durbin. «Básicamente, de los tres habituales, solo un administrador de PyPI estaba disponible para editar informes, y les tomó (a mí) un fin de semana».

En la noche del 21 de mayo (UTC), PyPI estaba de vuelta funciona como de costumbrecon su equipo administrativo en el lugar.

Por qué nos preocupamos por los repositorios de software de código abierto

Al menos parte de la exageración que rodea al cierre de 30 horas de PyPI puede explicarse por las crecientes preocupaciones sobre el estado de la seguridad de código abierto.

«Hemos visto dispararse la cantidad de ataques en los últimos dos años», dijo Peter Morgan, cofundador y CSO de Phylum. En el primer trimestre de 2023 Phylum analizó 2,8 millones de paquetes publicado en repositorios populares como PyPI, npm y Nuget, de los cuales 18 016 ejecutaron código sospechoso durante la instalación, 6 099 apuntaron a URL maliciosas conocidas y 2 189 se dirigieron a organizaciones específicas.

Los paquetes maliciosos son tan frecuentes en la actualidad que algunos piratas informáticos Ya casi no siento la necesidad de esconderlos.

“Cada vez más atacantes se dan cuenta de lo fácil que es. No requiere ninguna habilidad especial. Pueden descargar scripts de Internet y usarlos para contaminar la cadena de suministro de código abierto», explica Morgan. «Además, es gratis. No tienes que gastar dinero. Con cuentas anónimas, puedes hacerlo gratis”.

Morgan continúa: “Hoy en día hay tantas dependencias en el software. Todo lo que un atacante tiene que hacer es subir un pie en la cadena de dependencia para obtener acceso a su computadora. Entonces el defensor”. [has a] desventaja masiva aquí. El atacante solo tiene que ganar una vez”.

Por el contrario, las organizaciones que utilizan software de código abierto leen: todo Organizaciones: les resulta mucho más difícil defenderse de estos atacantes de bajo nivel, lo que genera llamados para una mejor inspección y desarrollo de paquetes. nuevas herramientas de seguimiento de dependenciaY Listas de materiales de software (SBOM).

Los responsables del mantenimiento de los repositorios Reconozco estos problemas tanto como cualquiera. «Siempre debe tener cuidado al instalar desde un índice público, ya sea en sus proyectos o en la línea de comando con ‘pip install'», dice Durbin.

Los repositorios realizan cambios para combatir los paquetes maliciosos

Histórico, Los repositorios lucharon por mantenerse al día con sus mucho más numerosos oponentes. Sin embargo, para disipar las preocupaciones, Durbin dice: «Tenemos desarrollos emocionantes que pronto permitirán un procesamiento mucho más sostenido y potencialmente automatizado de informes de malware».

La Python Software Foundation también agregó recientemente una Desarrollador de Seguridad en Residencia Rol destinado a mejorar la seguridad general de Python. Y hace solo unas semanas, Durbin anunció que PyPI implementaría una ingeniero de seguridadcuya tarea será centrarse específicamente en la seguridad de PyPI.

La seguridad de la cadena de suministro en los próximos años dependerá de nuestra capacidad para mantener limpios los depósitos públicos y protegernos cuando no lo estén. «Todo el mundo está muy, muy enfocado en encontrar cosas que tengan vulnerabilidades», concluye Durbin, «pero las vulnerabilidades de software no son lo que los atacantes usan para entrar en las computadoras en estos días. Crean paquetes maliciosos”.