通过双因素认证保护PyPI账户
内容提要
PyPI宣布到2023年底，所有维护项目的账户必须启用双因素认证（2FA），以增强安全性，防止账户被攻陷，保护用户和项目。尽管实施2FA会增加一定负担，但其对保护Python生态系统的必要性不容忽视。
延伸解读
为何覆盖所有维护者而非仅热门项目
文章指出，攻击者并不在意项目是否流行，只要一个被攻陷的项目出现在依赖链中，就能影响用户。因此，仅保护高下载量项目不足以消除风险。同时，无项目权限的账户无法用于攻击他人，强制2FA反而增加无谓负担。PyPI据此将强制范围限定为所有项目或组织的维护者，以平衡安全收益与实施成本。
2FA实施对维护者的实际影响
启用2FA会增加维护者的操作步骤，例如登录时需额外验证，上传包时可能需使用API令牌或Trusted Publishing。文章提到，PyPI已推出Trusted Publishing来减少发布时的2FA开销，并建议优先使用安全设备或认证应用。对于非维护者，未来在创建项目或接受邀请时才会被提示添加2FA，而非注册时强制。
供应链安全对个人开发者的意义
文章反驳了供应链安全仅关乎企业的观点，认为个人开发者同样面临攻击，且往往更脆弱：他们缺乏企业拥有的资源来审查依赖、检测和修复入侵，也通常没有保险补偿损失。因此，PyPI将2FA强制范围扩大到所有维护者，旨在保护整个Python生态，包括资源有限的个人开发者。
Q&A
为什么PyPI要求所有维护项目的账户启用双因素认证？
为了增强安全性，防止账户被攻陷，保护用户和项目，尤其是在Python生态系统中。
双因素认证如何防止账户被攻陷？
双因素认证可以中和因不安全密码导致的账户接管风险，即使攻击者获得了密码，也无法访问账户。
实施双因素认证对用户有什么影响？
虽然启用双因素认证会增加一定的负担，但其对保护用户和项目的必要性不容忽视。
为什么所有项目和组织的维护者都需要启用双因素认证？
因为一个被攻陷的项目可能会影响到多个用户，确保每个项目都受到保护是非常重要的。
如何准备启用双因素认证？
尽快为账户启用双因素认证，可以使用安全设备或身份验证应用，并切换到使用受信任的发布者或API令牌上传。
为什么现在实施双因素认证？
近年来，供应链安全越来越受到重视，PyPI希望通过强制实施双因素认证来提高整体安全性。
