The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

В репозитории PyPI реализована блокировка email с освобождёнными доменами

21.08.2025 11:21

Разработчики репозитория Python-пакетов PyPI (Python Package Index) реализовали защиту от захвата проектов путём покупки освобождённых доменов, указанных в параметрах учётных записей. Атака сводится к тому, что атакующие выискивают учётные записи, привязанные к email с просроченными доменами, после чего регистрируют освобождённый домен на себя, перенаправляют почтовый трафик на свой сервер и, получив контроль над email, инициируют процесс восстановления забытого пароля. В 2022 году данным способом был получен контроль за Python-пакетом ctx.

Для защиты от подобных атак в PyPI реализован ежедневный мониторинг актуальности доменных имён, используемых в email-адресах. Email-адреса с доменами, срок действия которых истёк, теперь автоматически переводятся в состояние неподтверждённых. Для неподтверждённых адресов PyPI не позволяет выполнить операцию восстановления пароля. Повторное прохождение верификации может инициировать только владелец учётной записи, знающий пароль.

С начала июня в пользовательской базе PyPI выявлено более 1800 email-адресов, связанных с вовремя не продлёнными доменами. C 1 января 2024 года каталог PyPI перешёл на обязательную двухфакторную аутентификацию, без включения которой пользователь не может выполнять действия по управлению проектом. Тем не менее, для старых пользователей, созданных до введения обязательной двухфакторной аутентификации, сохраняется возможность восстановления пароля через подтверждение по email, не требующее двухфакторной проверки.

  1. Главная ссылка к новости (https://blog.pypi.org/posts/20...)
  2. OpenNews: Перехвачены 4 учётные записи в PyPI и выпущены вредоносные релизы num2words
  3. OpenNews: Фишинг-атака на сопровождающих Python-пакеты в репозитории PyPI
  4. OpenNews: Каталог PyPI внедрил новую систему проверки подлинности пакетов
  5. OpenNews: Подмена зависимости в Python-библиотеке, насчитывающей 40 млн загрузок в месяц
  6. OpenNews: Инциденты с безопасностью в репозиториях PyPI и crates.io
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63753-pypi
Ключевые слова: pypi, python, domain
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (27) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 11:44, 21/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –10 +/
    Вердикт: те, кто делают свой нескучный домен в почтовых адресах, являются ССЗБ. Нет ведь по-человечески использовать gmail и прочие надежные провайдеры. Надо обязательно чтобы было нескучно и нетакусечно.
     
     
  • 2.4, Жироватт (ok), 12:03, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Господин майор послал DHL'ем вам пакет печенек и талон на три гамбургера и милкшейк за счёт Фонда Защиты Карликовых Японских Минипигов.
    Товарищ майор уже попросил курьера на рефрижераторе с надписью "ХЛЕБ" доставить вам три пачки "Примы", бутылку "Талки" и продуктовый набор за хорошую службу.
    Товарищ майор АлиЭспресс послать бесплатно Новый почти как настоящий кошка жена, джинса отверстие залом ноги на лямках и рис бурый Хайнань упаковка 10pcs.
     
  • 2.5, Аноним (5), 12:04, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Смысл почты в децентрализации не независимости от корпораций. Вот только корпорации понаделали своих бесплатных почт и начали банить независимые почтовые ящики, чтобы захватить рынок почты. И скажите что это не картельный сговор и не заговор рептилоидов.
     
     
  • 3.8, Аноним (-), 12:33, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • –4 +/
    > Смысл почты в децентрализации не независимости от корпораций

    Это кто придумал? Васяны?

    > Вот только корпорации понаделали своих бесплатных почт

    Какие меpзaвцы! Предоставили бесплатный сервис без необходимости прдлинга со своим серваком!

    > и начали банить независимые почтовые ящики

    которые были рассадником спама. И правильно сделали.

    > чтобы захватить рынок почты.

    У них и так был рынок. Как можно захватить то, что ты уже контролируешь?

    > И скажите что это не картельный сговор и не заговор рептилоидов.

    Нет конечно. А где вы тут рептилоидов увидели?))

     
  • 3.11, Эксконтрибутор FreeBSD (?), 13:10, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > начали банить независимые почтовые ящики

    Опять вранье
    Никаких проблем со своими серверами нет
    Настрой DKIM, пропиши SPF, пропиши DMARC, не забудь прописать PTR и все прекрасно работает, письма отмечаются как доверенные для твоего домена и не попадают в спам. Чудо? Нет, просто игра по общим для всех правилам

     
     
  • 4.15, нах. (?), 14:38, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Настрой DKIM, пропиши SPF, пропиши DMARC, не забудь прописать PTR

    но на твоей помойке в DO раньше сидел тор экзит (вариант - не на твоей, в том же блоке /19), поэтому купи себе для начала колло в приличном цоде, желательно чтоб там был PI коммерческой компании (а не ALLOCATED PA).
    Но нет, твоя почта все равно отправляется прямиком в ящик spam, потому что твои три письма в месяц не создали тебе репутацию учитываемую гуглем, и к тому же ты пишешь без уважения, плейнтекстом, без "корпоративного дизайна переписки", поэтому "самообучающийся робот" тоже выбросит твою писанину снова туда же, ведь она совершенно непохожа на содержимое почтового ящика типичного гуглоюзера (откуда роботу знать что это и есть спам).

    А то что у всех спаммеров давным-давно уже есть dkim, spf, все прочие ненужно, и да, таки колло в приличном цоде с корпоративным блоком а не этимвотвасянским массхостинговым - гуглю совершенно пофигу.

    > Нет, просто игра по общим для всех правилам

    правила описаны в rfc 822. А это - понятия.

     
     
  • 5.20, Эксконтрибутор FreeBSD (?), 16:15, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Чувак, а ты как определяешь какие rfc это правила, а какие «понятия»?

    7208 — spf
    6376 — dkim
    7489 — dmarc

    Все в rfc, все описано и все является общими правилами
    А про твои фантазии мне писать лень
    Если ты выполняешь все правила, то все прекрасно работает, а твои сказки это просто сказки чувака который ничего не пробовал, ничего не знает, только умеет тут воздух газифицировать

     
     
  • 6.27, onanim (?), 17:12, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    держу свои почтовики с 2008 года и подтвеждаю всё сказанное похом, нахом и прочими. если у тебя всё внезапно работает и письма не падают в спам, то

    > это просто сказки чувака который ничего не пробовал, ничего не знает, только умеет тут воздух газифицировать

    ну или ты хостишься в датацентре гугла, раз он "своих" пропускает.

     
  • 3.14, Аноним (-), 14:13, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Смысл почты в децентрализации не независимости от корпораций.

    Разве?
    Ты почитай, хотя бы на википедии, кто и когда создавал email.
    Подсказка, это были не подзаборные б0мжи борцуны с корпорациями, а университеты вроде MIT, вояки со своим ARPANET и корпорации IBM, CompuServe, DEC, Xerox.

    > Вот только корпорации понаделали своих бесплатных почт

    Более того, они еще и платных почт понаделали!

    > и начали банить независимые почтовые ящики

    А как реагировать на письмо от подкроватного сервака васяна?
    Вдруг это спам))?

    > И скажите что это не картельный сговор и не заговор рептилоидов.

    Ну.. раз ты попросил...
    "это не картельный сговор и не заговор рептилоидов" твердо и ч0тко))

     
  • 3.18, Аноним (18), 14:55, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    В целом как бы вроде всё оно и так, но
    > начали банить независимые почтовые ящики

    я в 2000х, когда был админом, просто зае#$%лся бороться с входящим спамом на нашем корпоративном qmail'е. Спам в те времена был настоящей эпидемией планетарного масштаба. И мало кто знал и главное умел из этих админов бороться с этим спамом как на стороне получитателя, так и те пострадавшие, из чьих сетей вирусы рассылали спам. Всякие костыли вроде greylisting и/или банить целые подсети через общедоступные списки в Инете - имхо делало только хуже. Например, приходилось писать ваще какому-то незнакому человеку чтоб он нас удалил из своего списка, потому что наш директор не может отправить письмо партнерам. А использовать личный ящик он не мог по репутационным соображениям. Короче, я рад, что это всё закончилось

     

  • 1.3, Аноним (3), 12:00, 21/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да вообще пофиг на pypi. Ставлю всё исключительно из гита + из релизов гихаба + из пакетного менеджера ОС.
     
     
  • 2.7, Аноним (7), 12:09, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Обновлять как собираешься. Ставить из гита надо только когда тебе нужен мастер.
     
     
  • 3.24, Аноним (24), 16:38, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Ставить из гита надо только когда тебе нужен мастер.

    Кому надо?

    > Обновлять как собираешься.

    А pip не умеет тащить нужный тэг или коммит? Вчера, вроде бы, умел...

     
     
  • 4.25, Аноним (7), 16:40, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Так откуда без pypi ты узнаешь, что обновить надо?
     
  • 2.10, старшина (?), 12:37, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    На гитхабе безопасно? Там почту перехватить не смогут?
     

  • 1.12, Аноним (12), 13:22, 21/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Только стоит проверять и лочить не учетки с истекшими доменами, а с теми которые вот-вот рюистекут. Так-то идея говно, потому что это много запросов каждые n времени для пакетов, которые брошены владельцами и с которыми нет и не будет связи.
     
     
  • 2.17, нах. (?), 14:51, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    если все сделать правильно - это ровно один запрос раз в год на каждый домен. (но я сильно сомневаюсь что ЭТИ сделают правильно. И не полочат тебе учетку потому что gtld задолбали ежесекундные проверки с их адреса и он не ввел рейтлимит или просто не отправил его в бан)

     

  • 1.13, 12yoexpert (ok), 13:30, 21/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    ну то есть если жертва вендорлока проспала оплату домена на один день и не знает пароль - про акк можно забыть
     
     
  • 2.16, нах. (?), 14:48, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    ну если ты прое...л ключи от квартиры, и не озаботился запасным под ковриком - то в общем и целом внутрь попасть можно, но придется доказывать полицаям что ты это ты, так всеми нелюбимыми паспортными данными и пропиской. И еще и дверь менять.

    Долбоклюй, одновременно не помнящий паролей и проспавший свой домен - должен страдать.
    В конце-концов, заведет себе новую учетку, все равно его лефтпад нафиг был никому не нужен.

    P.S. как вам удается забывать пароль a123456789A)_+ - понятия не имею. И да, эта глупость проходит большинство "крайне строгих" проверок.
    P.P.S. в следующей серии  я расскажу вам как обойти идиотское требование еще и менять его каждые три дня.

     
     
  • 3.19, Tron is Whistling (?), 16:11, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Скорее всего в основном это брошенные лефтпады, на которые их ваятели уже давно забили.
    Но на помойке - как на помойке, и тонны лефтпадостроителей привычно тянут эти лефтпады.
     
  • 3.26, Аноним (24), 16:42, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Долбоклюй

    "Microsoft чуть не прошляпил Hotmail"
    "Аргентинец купил домен Google за $3"
    "Бывший сотрудник случайно купил домен Google.com за $12"

     
  • 2.22, Эксконтрибутор FreeBSD (?), 16:25, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > ну то есть если жертва вендорлока проспала оплату домена на один день
    > и не знает пароль - про акк можно забыть

    Ребенок, ну ты бы хоть узнал, что нет никакого «на один день»
    Если ты просpал оплату домена, то у тебя есть еще 30 дней грейс-периода, когда ты его можешь оплатить, в эти 30 дней домен не функционален, но ты и только ты можешь за него заплатить и тем вернуть его к жизни

    При этом все регистраторы начинают слать письма «скоро надо заплатить» минимум за месяц, потом присылают, что срок закончился и начался грейс-период и так далее

    А еще нормальные зоны можно оплатить сразу на 10 лет. Платишь и 10 лет домен твой, а через 10 лет либо продляешь, либо ты мертв и тебе уже пофигу на домен и на учетку в pypi

     

  • 1.28, Аноним (-), 17:37, 21/08/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Мне на днях gmail прислали письмо на резервный ящик, что если я в течении месяца не зайду на их почту, то они, в целях моей безопасности, её удалят.
     
     
  • 2.31, Аноним (31), 18:23, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    и правильно сделают! давно пора!
     
  • 2.32, Аноним (32), 19:41, 21/08/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Угозы, они всегда такие.
     

  • 1.29, Аноним (-), 17:46, 21/08/2025 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +/
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру