Los requisitos 2FA de PyPI no van lo suficientemente lejos, dicen los investigadores

El repositorio oficial de código fuente abierto para el lenguaje de programación Python, el Python Package Index (PyPI), requiere que todas las cuentas de usuario habiliten la autenticación de dos factores (2FA) para fines de 2023.

La medida de seguridad puede ayudar a evitar que los atacantes cibernéticos comprometan las cuentas del mantenedor e inyecten código malicioso en proyectos legítimos existentes. Pero no es una panacea cuando se trata de fortalecer la seguridad en toda la cadena de suministro de software, advierten los investigadores.

«Para fin de año, PyPI comenzará a bloquear el acceso a ciertas funciones del sitio en función del uso de 2FA», explicó el administrador y mantenedor de PyPI, Donald Stufft en uno entrada de blog actual. «Además, podemos comenzar a seleccionar usuarios o proyectos específicos para una aplicación temprana».

Para implementar 2FA, los mantenedores de paquetes tienen la opción de usar un token de seguridad u otro dispositivo de hardware o una aplicación de autenticación; y Stufft dijeron que se alienta a los usuarios a cambiar a ambos Los editores de confianza de PyPI Tokens de función o API para cargar código en PyPI.

Contención de la actividad de paquetes maliciosos de PyPI

El anuncio se produce en medio de una serie de ataques de ciberdelincuentes que buscan infiltrarse en varios programas y aplicaciones de software con malware que luego puede distribuirse ampliamente. Desde PyPI y otros repositorios como npm y GitHub alojan los componentes básicos que los desarrolladores usan para crear estas ofertas. Comprometer su contenido es una buena manera de hacer esto.

Los investigadores dicen que 2FA en particular (lo que GitHub también se implementó recientemente) ayudará a evitar la apropiación de la cuenta del desarrollador, que es una forma en que los actores maliciosos se infiltran en las aplicaciones.

«Hemos visto Ataques de phishing lanzados contra los mantenedores de proyectos de paquetes PyPI de uso común que están diseñados para comprometer esas cuentas”, dijo Ashlee Benge, directora de defensa de inteligencia de amenazas en ReversingLabs. «Una vez que estas cuentas se ven comprometidas, pueden usarse fácilmente para reenviar código malicioso al proyecto PyPI en cuestión».

Uno de los escenarios más probables de una infección inicial sería que un desarrollador instale accidentalmente un paquete malicioso, por ejemplo, escribiendo accidentalmente un comando de instalación de Python, dice Dave Truman, vicepresidente de riesgo cibernético de Kroll.

«Muchos de los paquetes maliciosos contienen funciones para robar credenciales o cookies de sesión del navegador y están codificados para ejecutarse sobre el paquete malicioso que se está instalando», explica. “En este punto, el malware robaría sus credenciales y sesiones, lo que potencialmente podría incluir inicios de sesión utilizables con PyPI. En otras palabras… un desarrollador podría permitir que el actor cambie». un gran ataque a la cadena de suministro Dependiendo de a qué tenga acceso el desarrollador, 2FA en PyPI ayudaría al actor a no aprovecharlo [that].»

Hay otras tareas por hacer en el área de seguridad de la cadena de suministro de software

Benge de ReversingLabs señala que si bien los requisitos 2FA de PyPI son un paso en la dirección correcta, se necesitan más capas de seguridad para realmente bloquear la cadena de suministro de software. Esto se debe a que los ciberdelincuentes aprovechan al máximo los repositorios de software. Subir sus propios paquetes maliciosos con la esperanza de atraer a los desarrolladores para que los incluyan en su software.

Finalmente, cualquiera puede registrarse para obtener una cuenta PyPI, sin hacer preguntas.

Estos esfuerzos generalmente involucran tácticas de ingeniería social mundanas, dice ella: «Typosquatting es común – por ejemplo, nombrar un paquete «djanga» (que contiene código malicioso) en lugar de «django» (la biblioteca legítima y de uso común)».

Otra táctica es buscar proyectos abandonados para revivirlos. “Un proyecto anteriormente benigno se abandona, se elimina y luego se reutiliza para alojar malware. como con termcolor«, ella explica. Este enfoque de reciclaje brinda a los actores malintencionados la ventaja de utilizar la reputación legítima del proyecto anterior para atraer a los desarrolladores.

“Los oponentes están constantemente encontrando múltiples formas de hacer esto Engañar a los desarrolladores para que usen paquetes maliciosos«Por esta razón, es crucial que Python y otros lenguajes de programación con repositorios de software como PyPi tengan un enfoque de seguridad integral para la cadena de suministro de software», dice Javed Hasan, director ejecutivo y cofundador de Lineaje.

Además, según Benge, hay varias formas de derrotar a 2FA cambio de tarjeta SIM, explotación de OIDC y secuestro de sesión. Si bien estos tienden a requerir mucho trabajo, los atacantes motivados aún harán el esfuerzo de eludir MFA y ciertamente 2FA, dice ella.

“Tales ataques requieren un nivel mucho más alto de compromiso por parte del atacante y muchos pasos adicionales que disuaden a los actores de amenazas menos motivados, pero comprometer la cadena de suministro de una organización representa potencialmente una gran ganancia para los actores de amenazas, y muchos podrían decidir que el esfuerzo adicional vale la pena vale la pena «, dice ella.

A medida que los repositorios toman medidas para hacer que sus entornos sean más seguros, las organizaciones y los desarrolladores deben tomar sus propias precauciones, aconseja Hasan.

“Las organizaciones necesitan herramientas modernas de detección de manipulaciones en la cadena de suministro que ayuden a las empresas a desglosar el contenido de su software y evitar el uso de componentes desconocidos y peligrosos”, dice. También esfuerzos como Listas de materiales de software (SBOM) Y gestión de la superficie de ataque poder ayudar.