The Python Package Index Blog
·
事件报告：LiteLLM/Telnyx供应链攻击及应对指南
内容提要
近期，LiteLLM和Telnyx的供应链攻击导致恶意软件通过PyPI包传播，窃取用户凭证。攻击者利用API令牌注入恶意代码。PyPI正在与安全研究人员合作，加快恶意软件的检测与处理。开发者应采用依赖冷却策略和锁定依赖以增强安全性。
关键要点
-
LiteLLM和Telnyx的供应链攻击导致恶意软件通过PyPI包传播，窃取用户凭证。
-
攻击者利用API令牌注入恶意代码，恶意软件在安装时运行，窃取敏感凭证和文件。
-
PyPI与安全研究人员合作，加快恶意软件的检测与处理。
-
恶意软件通过注入方式影响已经广泛使用的开源包，而非新发布的包。
-
PyPI每天新增约700-800个项目，面临恶意软件检测的挑战。
-
开发者应采用依赖冷却策略，避免安装最近发布的包，以便安全研究人员有时间检测恶意软件。
-
锁定依赖项可以防止每次安装时接收新代码，降低恶意软件安装的风险。
-
开源项目维护者应加强发布工作流程的安全性，使用受信任的发布者和启用双因素认证。
-
建议使用短期令牌的受信任发布者替代长期API令牌，以降低被攻击的风险。
-
支持Python软件基金会的安全工作，以促进Python及其社区的持续发展。
延伸解读
供应链攻击的影响
LiteLLM和Telnyx的供应链攻击展示了开源软件生态系统中的脆弱性。攻击者通过注入恶意代码，利用开发者的信任，窃取敏感信息。这提醒开发者在使用开源包时需更加谨慎，尤其是对已广泛使用的包，需关注其安全性和更新情况。
防范措施的重要性
文章强调了依赖冷却策略和锁定依赖的重要性。通过延迟安装新发布的包，开发者可以给安全研究人员留出时间检测潜在的恶意软件。此外，锁定依赖项可以确保每次安装时不会接收新代码，从而降低风险。
PyPI的安全响应
PyPI与安全研究人员的合作加快了恶意软件的检测与处理。尽管每天有大量新项目发布，PyPI的自动化报告和隔离机制在应对攻击时发挥了关键作用。这表明，社区的参与和快速响应对于维护开源生态系统的安全至关重要。
延伸问答
LiteLLM和Telnyx的供应链攻击是如何发生的？
攻击者通过暴露的API令牌注入恶意代码，导致恶意软件在安装时窃取用户凭证和文件。
PyPI如何应对恶意软件的传播？
PyPI与安全研究人员合作，加快恶意软件的检测与处理，并通过用户报告加速审查和隔离过程。
开发者如何增强使用PyPI包的安全性？
开发者应采用依赖冷却策略和锁定依赖项，以降低恶意软件安装的风险。
什么是依赖冷却策略，它如何帮助开发者？
依赖冷却策略是避免安装最近发布的包，从而给安全研究人员时间检测恶意软件。
开源项目维护者应采取哪些安全措施？
维护者应加强发布工作流程的安全性，使用受信任的发布者和启用双因素认证。
使用短期令牌的好处是什么？
短期令牌降低了被攻击的风险，因为它们需要立即使用，且不需要手动轮换。
