安全与保障工程师：第一年回顾
内容提要
安全工程师Mike回顾了他在PyPI的第一年工作，包括引入2FA认证、进行审计、改进恶意软件响应和报告机制等工作。他对未来充满期待。
延伸解读
2FA 全面推行：显著降低账户接管风险
PyPI 在 2023 年底开始强制推行双因素认证（2FA），目前已有超过 14 万用户启用。自 2024 年 1 月以来登录的用户中，约 80% 已启用 2FA，其余用户必须完成注册才能进行任何操作。此举大幅减少了因账户接管而传播恶意代码的风险，提升了整个生态的安全性。
恶意软件响应机制：从邮件到系统化流程
PyPI 将原本的邮件联系改为共享收件箱系统，并开发了观察功能，允许用户提交注释以辅助调查。自 2023 年 8 月以来，超过 90% 的问题在 24 小时内解决，其中 95% 的处理时间不到一分钟。新流程还保留了报告记录，便于后续分析。
隔离状态：平衡安全与误报风险
PyPI 引入了项目生命周期状态“隔离”，允许管理员将可疑项目置于非破坏性隔离中，阻止用户安装，同时进行进一步分析。若确认为误报，可恢复项目而不丢失历史或元数据。这一中间状态在快速保护用户的同时，避免了直接删除带来的不可逆后果。
参与政策制定：PSF 回应 CISA 开源安全咨询
2023 年 11 月，Python 软件基金会（PSF）向美国网络安全和基础设施安全局（CISA）提交了关于开源软件安全的回应。Mike 负责了其中与 PyPI 和打包安全相关的部分，强调了 PyPI 在 Python 生态中的关键作用。这体现了开源社区在安全政策制定中的积极参与。
Q&A
安全工程师Mike在PyPI的第一年工作中做了哪些重要改进？
Mike在PyPI的第一年中引入了两因素认证（2FA）、进行了历史上第一次审计、改进了恶意软件响应和报告机制，并开发了观察功能。
PyPI的两因素认证（2FA）实施情况如何？
截至2023年末，超过14万用户启用了2FA，约80%的用户在2024年1月后登录时已完成2FA设置。
PyPI进行审计的原因是什么？
PyPI进行审计是为了提高安全性，审计由开放技术基金资助，旨在识别和解决潜在的安全问题。
在恶意软件响应方面，PyPI采取了哪些措施？
PyPI建立了共享收件箱系统以处理报告，开发了观察功能以便用户提交注释，并改进了报告和响应流程。
PyPI如何处理恶意软件报告？
PyPI通过共享收件箱系统接收报告，并利用观察功能记录和分析恶意软件案例，确保快速响应。
Mike在工作中还参与了哪些其他项目？
除了安全工作，Mike还参与了API端点的OpenAPI集成、核心数据模型的重构，以及参加多个会议和圆桌会议。
