The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

PyPI пересмотрит политику в отношении персональных данных и прекратит поддержку PGP-подписей

24.05.2023 22:42

Директор по инфраструктуре организации Python Software Foundation опубликовал отчёт о выполнении требований по раскрытию персональных данных пользователей репозитория PyPI (Python Package Index). В марте и апреле Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые после консультаций с юристами были выполнены. Переданные данные включали имена, адресную информацию, списки загруженных пакетов и сведения о сеансах и IP-адресах.

Так как Python Software Foundation и PyPI выступают за свободу, безопасность и конфиденциальность пользователей, действуя в интересах сообщества решено пересмотреть применяемые в организации стандарты в области раскрытия данных и обеспечения конфиденциальности. В частности, планируется минимизировать хранимые и получаемые от пользователей персональные данные, а также ограничить время хранения логов со сведениями о подключениях пользователей, что также снизит ущерб в случае утечек в результате компрометации инфраструктуры или ошибки персонала.

Кроме того, разработчики PyPI объявили о решении прекратить поддержку PGP-подписей для верификации пакетов, так как они не решают возложенные на них задачи и в текущем виде бесполезны. Из-за имевшихся проблем ранее показ подписей уже был убран из web-интерфейса. Для разработчиков возможность загрузки PGP-подписей будет сохранена, но эти подписи будут игнорироваться. Доступ пользователей к ранее загруженным подписям будет сохранён, но новые подписи перестанут отдаваться, а в поле "has_sig" в API всегда будет выставлено в значение "False".

За последние три года вместе с пакетами в PyPI было загружено около 50 тысяч цифровых подписей, связанных с 1069 PGP-ключами. 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия. Из оставшихся 71% достоверность около половины на момент проведения аудита оказалось невозможно подтвердить. Верифицировано было только 36% ключей, а достоверные подписи, созданные за последние три года, охватывали лишь 0.3% от всех файлов.

  1. Главная ссылка к новости (https://blog.pypi.org/posts/20...)
  2. OpenNews: PyPI из-за вредоносной активности приостановил регистрацию новых пользователей и проектов
  3. OpenNews: В PyPI реализована возможность публикации пакетов без привязки к паролям и токенам API
  4. OpenNews: В пакетах, размещённых в PyPI, выявлено 57 забытых ключей доступа к AWS
  5. OpenNews: Внедрение двухфакторной аутентификации в PyPI привело к инциденту с удалением популярного пакета
  6. OpenNews: GitHub опубликовал отчёт о блокировках в 2022 году
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/59191-pypi
Ключевые слова: pypi
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (44) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 23:36, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    > достоверные подписи охватывали лишь 0.3% от всех файлов

    показательно нужности PGP

     
     
  • 2.5, Dzen Python (ok), 23:41, 24/05/2023 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Ставлю сотку против металлической копейки, что эти 0.3% - разрабы старой школы/разрабы из копрораций и просто смогли/повезло недавно занести подпись в *доверенные* УЦ с пруфами. А не как смуззи-самоудовлетворение через самоподписанное самоподписанным.
     
  • 2.8, Аноним (8), 00:27, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +7 +/
    Но лучше варианта ты же все равно не предложишь?
     
     
  • 3.37, Аноним (-), 20:09, 25/05/2023 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
  • 2.21, Аноним (21), 08:34, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Чтобы OpenPGP заработал, как надо, необходимо соблюдать несколько условий 1 За... большой текст свёрнут, показать
     
     
  • 3.22, Аноним (21), 08:49, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Создавать ключи без строка действия, или ставить 1000 лет.
    Размер ключа делать максимально большим.
    Обязательно, при создании нового ключа, подписывать его своим старым ключём.
     
  • 3.24, YetAnotherOnanym (ok), 09:13, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +8 +/
    > прочесть документацию

    Не, ну ты скажешь тоже...

     
  • 3.30, Аноним (30), 14:21, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Цифровизация в РФ под угрозой или все пункты соблюдены?
    ИФНС во всю выдают сертификаты, а тема то незащищенная вовсе
     
     
  • 4.34, Аноним (34), 15:33, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Лично мне в Законе не нравится пункт о уничтожении публичных ключей. Моё мнение подписаные в УЦ ключи должны хранится вечно. Если нет, то с этого мало пользы.

    Также не нравится отсутствие централизированных публичных серверов со всеми ключами. Как найти ключ Васи Пупкина?

    Не нравится требование о установки блоба для работы с ключами. Ключ должен создавать пользователь, а УЦ только подписывать публичную часть.

     
  • 4.50, Аноним (50), 15:44, 27/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Цифровизация в РФ под угрозой или все пункты соблюдены?

    Всё идет строго по пунктам их их плана:
    1. https://www.opennet.me/openforum/vsluhforumID10/5567.html
    2. https://www.opennet.me/openforum/vsluhforumID10/5564.html
    3. Следующим пунктом плана всех чипировать: https://nauka.tass.ru/nauka/17848123


     
  • 3.31, OpenEcho (?), 15:12, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Чтобы OpenPGP заработал

    Пока нет **достоверной** верификации независиммым "третьим лицом", - PGP подписи само/всех-обман. И этого, самого главного пункта нет в перечисленном выше

     
     
  • 4.35, Аноним (34), 15:46, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail, более 5 человек вполне достаточно.

    https://www.linux.org.ru/forum/security/16839105?cid=16840324

     
     
  • 5.38, OpenEcho (?), 00:26, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Есть п. 2 Верификация, достоверность зависит от лица проверяющего паспорт и E-mail,
    > более 5 человек вполне достаточно.
    > https://www.linux.org.ru/forum/security/16839105?cid=16840324

    Где эти 5 человек??? И кто они, и почему я им должен верить что это не один и тот-же человек подписавший себя тремя вымышленнами анонимами? Где те проекты используюшие услуги этих 5 человек подписывающих чужие ключи ? Линух? А может секьюрити офицеры из Фряхи? Как проверить, что эти 5-ро не афереисты, которые слизали паспортные данные чтоб провернуть гнилое дело вместо подписывания твоего сертификата?

    И т.д. и т.п.

     
     
  • 6.41, Аноним (41), 07:14, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знае... большой текст свёрнут, показать
     
     
  • 7.43, OpenEcho (?), 14:32, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Желательно обмен проводитьсреди грамотных людей, личности которых ты хорошо знаешь.

    Точно, у меня завтра с хорошим кентом, Линусом Торвальдосом встреча, а после завтра с Вовкой Путиным, заодно ключами обменяемся, подпишем их там друг другу...

    > Цепочка доверия. Если к интересующему тебя ключу есть ~5 разных цепочек доверия,
    > то с высокой вероятностью ключ принадлежит собственнику.

    дорогой друг, я очень рад, правда, что ты понял как мог бы работать этот концепт, но как показывает десятилетия  практики, WOT не работает за исключением нескольких чудаков на планете, но вот массы свято верят в подписанные кем-то и чем-то ключи и думают они очень круты, т.к. научились в одну строчку запустить верификацию хер знает чего


    > WOT выдержит.

    Ты как покажешь цепочку доверия того же Торвальдаса, которую я могу проверить, лично и по паспортным данным, ну не его, ну хотя-бы тех 5 пацанов, вот тогда и поговорим как твой вебо-траст выдержит


     
     
  • 8.49, Аноним (49), 13:38, 27/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Подписывай ключи тех кого хорошо знаешь одноклассников, однокурсников, сотрудни... большой текст свёрнут, показать
     
  • 3.51, нона (?), 01:09, 29/05/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    2. Как только человек начинает говорить про WoT в контексте подписи артефактов, можно сразу дальше не читать — просто шалунишка в штанишках. Атака организуется на раз-два-три. Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.
     
     
  • 4.53, Аноним (53), 09:57, 10/06/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Как пример: ни один из дистров не использует WoT для управления ключами для подписи пакетов.

    Не использование подписанных ключей при подписи программ, ISO, ... есть баг. Это неверное использование PGP.

    Раньше (до Сновдена и Осанджа) так не было.

    Лучше, чтобы пакет с прогой, ISO, ... был подписан сразу несколькими подписями его разработчиков, а не одной. Как это делается, например
    https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2.sig
    https://gnupg.org/ftp/gcrypt/gnupg/gnupg-2.2.14.tar.bz2

     

  • 1.3, Dzen Python (ok), 23:38, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Министерство юстиции США направило в PyPI требования о раскрытии данных 5 пользователей, которые [...] были выполнены.
    >The data request was:
    >    "Names (including subscriber names, user names, and screen names);"
    >    "Addresses (including mailing, residential addresses, business addresses, and email addresses);"
    >    "Telephone or instrument numbers (including the registration Internet Protocol address);"
    >    "Means and source of payment of any such services (including any credit card or bank account number) and billing records;"

    Хм. Об этих 5 пользователях по 3м запросам, значит, не смогли бы правдоподобно ничего отрицать? Или просто выставили равное оффициальному число (много меньшее реального) ради успокоения и наших, и ваших, и ихних?

    > We have waited for the string of subpoenas to subside, though we were committed from the beginning to write and publish this post as a matter of transparency, and as allowed by the lack of a non-disclosure order associated with the subpoenas received in March and April 2023.

    *Голосом Станиславского:*
    - Браток, НЕ-ВЕ-РЮ! НЕ. ВЕРЮ.

    Соломку подстелили, значится, и теперь потенциальный скандал можно зарубить будет на корню ходом "на нас надавили!". Банально, но все равно действенно.

     
  • 1.4, Аноним (4), 23:40, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    >  В честности, планируется минимизировать хранимые и получаемые от пользователей персональные данные

    но номер телефона то возьмут ? (причём с проверкой..)

     
  • 1.7, Аноним357 (?), 23:57, 24/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > За последние три года вместе с пакетами в PyPI было загружено около 50 тысяч цифровых подписей, связанных с 1069 PGP-ключами. 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.

    Зачем тогда принимать такие пакеты, непонятно.

     
     
  • 2.20, timur.davletshin (ok), 08:09, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Хуже, я как-то столкнулся с разработчиком, который старательно подписывал свои пакеты, почту и прочее, но отказывался предоставить публичный ключ. Порядочное "ЧО" я тогда получил )))
     
     
  • 3.40, Аноним357 (?), 01:42, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    наверное можно было хотя-бы отпечаток ключа предоставить ...
     

  • 1.10, Аноним (10), 01:52, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.

    Логическая ошибка

     
     
  • 2.15, Аноним (15), 03:22, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Где? 29% ключей хрен пойми откуда взялись и проверить их принципиально невозможно. Ну ок. Эдак и похова собака тебе подписать может что угодно: лапы, хвост и усы имеются!
     
     
  • 3.16, Аноним (16), 05:17, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +4 +/
    > 29% ключей хрен пойми откуда взялись

    Не хрен пойми откуда, а:
    1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,
    2. от предыдущей версии пакета, код которой верифицировали,
    3. мой собственный пакет, подписанный моим ключом (или пакет компании, где я работаю, подписанный её ключом),
    4. из мелкого публичного сервера ключей, или крупного, о существовании которого создатели пипей не слышали,
    5. из другого источника, которому можно доверять:
    5.2. общался с разработчиком по почте лично, просил прислать его ключ,
    5.3. брат жены друга, который прошёл один из предыдущих пунктов

    > и проверить их принципиально невозможно

    После того, как их поддержку выпилили, проверить их стало возможно, да?

     
     
  • 4.25, пох. (?), 09:44, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Не хрен пойми откуда, а:
    > 1. от разработчика, чей (другой) пакет уже использовали и проблем с ним замечено не было,

    экспертиза опеннета. Дальше в общем можно не читать. То есть местные д-лы даже не понимают, как работает pgp.

    > После того, как их поддержку выпилили, проверить их стало возможно, да?

    да, твоим методом номер пять - "из другого источника, которому можно доверять". Если бы он существовал не только в твоих фантазиях, ты бы вполне мог попросить у него подписанную хэш-сумму пакета - раз уж ты даже смог где-то взять его публичный ключ.

    Но скорее всего фантазии так и останутся фантазиями, потому что разработчики там примерно такие же.

     
  • 3.17, Аноним (17), 07:28, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Любая собака может опубликовать ключ на "крупных публичных серверах ключей", но он не станет от этого "доверенным"
     
     
  • 4.26, пох. (?), 09:48, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    по крайней мере можно будет быть уверенным что новая версия того же самого пакета или другой от того же автора - действительно подписаны его ключом. Что, разумеется, тоже ровным счетом ничего не означает, подписаны, его ключом - и - вот что? Но кому-то возможно так спокойнее.

    С тем же успехом можно просто публичный ключ класть рядом с кодом, как во времена ftp.gnu.org и делали. Параноики могли параноить, для остальных это был просто ненужный файл.

     

  • 1.11, fuggy (ok), 01:58, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Разработчики не умеют использовать и проверять подписанные ключи. Что сделаем? А давайте совсем выпилим отображение ключей подписей.
    Надеюсь у кого-нибудь отвалится сборка и PyPI надают по ушам. Вон гитхаб хеш у архивов поменял, так такой вой поднялся на весь интернет, а тут.
     
     
  • 2.12, Аноним (12), 02:08, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    да-да, придёт тов.майор и сразу по ушам
     
  • 2.18, timur.davletshin (ok), 08:00, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Разработчики не умеют использовать и проверять подписанные ключи.

    Абсолютно верно. Сталкивался не раз с тем, что банально приватные ключи выкладывали в открытый доступ или просто высылали их. Увы, но информ. безопасность идёт с некоторым обременением и этот порог вхождения не могут преодолеть зачастую даже представители целевой аудитории.

     
  • 2.32, OpenEcho (?), 15:22, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Разработчики не умеют использовать и проверять подписанные ключи.

    Для того чтоб проверить, надо сперва верить, что публичный ключ и правда принадлежит тому, кого он идентифицирует. Пока каждый может безплатно и без проверки пушнуть в кейсторадж свои ключи переписав любого, - это фуфло. Так же как и коммунистическая вера в группы добровольных общин подписывающих(?) других людей. Где они, верящие в святой ПГП? Где они, кросс-подписи во всех популярных проектах? А, да, - вы просто верьте то что на нашем сайте (взломанном? да вы что?! не бывает такого!) можете сверить с нашим ключом. Если бы это фуфло работало, то каждый бы мог сам себе выписывать паспорт, водительские права и т.д и т.п.

     
     
  • 3.36, ivan_erohin (?), 17:58, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Где они, кросс-подписи во всех популярных проектах?

    "во всех" - это перфекционизм. но в некоторых есть:
    https://tails.boum.org/install/expert/index.en.html
    https://kernel.org/category/signatures.html

     
     
  • 4.39, OpenEcho (?), 00:33, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    >> Где они, кросс-подписи во всех популярных проектах?
    > "во всех" - это перфекционизм. но в некоторых есть:
    > https://tails.boum.org/install/expert/index.en.html
    > https://kernel.org/category/signatures.html

    И где гарантия, что эти сайты не взломаны, показывающие эти подписи?
    Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают и нас никто и никогда не ломал..."


     
     
  • 5.42, ivan_erohin (?), 10:49, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > И где гарантия, что эти сайты не взломаны

    ГАРАНТИЮ дает только страховой полис.
    и то за страховое возмещение придется судиться (по опыту с ОСАГО),
    страховщики очень жадные и жлобные.

    // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год ?

    > Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают

    в конечном счете да.

    > и нас никто и никогда не ломал..."

    если бы ломали, то поднялся бы такой хай в интернетах,
    что заметили бы даже самые придонные ламеры и нубы.

     
     
  • 6.44, OpenEcho (?), 14:41, 26/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > ГАРАНТИЮ дает только страховой полис.
    > и то за страховое возмещение придется судиться (по опыту с ОСАГО),
    > страховщики очень жадные и жлобные.

    А зачем тогда вообще вся эта лапша с ПГП?


    > // интересно, сколько будет стоить застраховать сайт (ключ) от взлома на год
    > ?

    По разному, если платить за EV верификацию, то можно под пол лимона зелени застраховаться, но только не с ПГП, а с SSL


    >> Т.е. просто верьте на слово, - "мы крутая пацанва, нас все знают
    > в конечном счете да.

    А нах тогда вообще этот самобман с ПГП, где самое главное - **доверие** подписи, - не проверяемое ?


    >> и нас никто и никогда не ломал..."
    > если бы ломали, то поднялся бы такой хай в интернетах,
    > что заметили бы даже самые придонные ламеры и нубы.

    Так переодически именно это и случается :))))
    Потому как строить охеренно крутые , беттонно-чугунные ворота с неломаемым в принципе замком, но... без забора, в открытом поле - нет никакого смысла


     

  • 1.13, Алексей (??), 02:31, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    > 29% ключей отсутствуют на крупных публичных серверах ключей, т.е. не могут рассматриваться как заслуживающие доверия.

    Централизую децентрализованное. Недорого. Гарантия.

     
     
  • 2.19, timur.davletshin (ok), 08:07, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • +/
    С публичными серверами некоторое время произошёл факап из-за атаки при помощи чрезвычайно длинных цепочек доверия, так что даже дефолтные SKS пришлось в GnuPG менять. После этого запара с публичными ключами только усугубилась. Зато теперь придумали зоопарк с p=p и более экзотичными способами втулить подписи во вложение к email.
     

  • 1.27, Аноним (27), 10:13, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Лучше бы они хоть какой-то модерацией пакетов занимались чем этим.
     
  • 1.28, Абц (?), 12:40, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Разработчкик выкладывет свой код в любой публичный репозиторий кода с отказом об ответственности.
    Далее, если оно надо разрабу, выдвинуть на рассмотрение для влючения в каталог pypi.org.
    Владельцы pypi определяют степень нужности, проводят код ревью, берут на себя ответственность, за то, что они кладут в свой каталог и у них не будет никаких персональных данных разработчика.
    Т.е. разраб запушил свое творчество в открытый мир, забыв о подтверждениях телефона, сдаче отпечатков пальцев и анализов. Все равно это  не гарантирует, что учетку или инфраструктуру проктаа не взломают и от твоего имени не вкомитят что угодно.
    Можно на pypi показывать пакеты уже загруженные и кандидатов на включение, но скачиваются кандидаты из внешних реп без гарантий.
     
  • 1.29, Аноним (-), 13:09, 25/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Кроме того, разработчики PyPI объявили о решении прекратить поддержку PGP-подписей для верификации пакетов, так как они не решают возложенные на них задачи и в текущем виде бесполезны.

    То есть, из разработчиков PyPI ушли люди, действительно умевшие в PGP и пришли любители аутентификации по радужке из московского метро и сбербанка. Ну вы поняли, чем это пахнет.

     
     
  • 2.33, OpenEcho (?), 15:29, 25/05/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > действительно умевшие в PGP

    Таких нет, - в принципе, т.к. за столько десятилетий так и не появились верифицирющие/удостоверяющие люди/центры и как результат сама идея изпользования ПГП как **публичного** удостоверяющего инструмента - нет. ПГП как и любая ассинхронная криптография работает исключительно только когда публичными ключами обменялись из рук в руки (под подпись и с проверкой по пасспорту) или существует **доверенный, верефицирюющий, независсимый** центр, которого в ПГП инфраструктуре - нет.

     

  • 1.46, Аноним (46), 19:40, 26/05/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Задача подписи в том, чтобы определить, что у пакета не поменялся автор. Критерий вида "ключи не зарегистрированы на крупных серверах с ключами" ни о чем абсолютно. Не пытайтесь завести и в pgp сертификационные центры и просрачиваемость, тут хоть и есть видимость подобного, но все работает совершенно иначе, ключи можно продлевать или ставить им вечные сроки, и работать они не перестают если просрочены.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру