The Python Package Index Blog
·
PyPI与沙丘：在新兴威胁中保持安全
内容提要
近期，npm生态系统遭到攻击，黑客利用被盗账户发布恶意包。虽然PyPI未直接受攻击，但发现一些PyPI凭证在被攻陷的仓库中泄露。我们已撤销这些凭证，并建议用户采取安全措施，特别是在使用构建平台发布包时。
关键要点
-
npm生态系统遭到攻击，黑客利用被盗账户发布恶意包。
-
此次攻击被称为Shai-Hulud，主要针对JavaScript生态系统中的大量包。
-
PyPI未直接受到攻击，但发现一些PyPI凭证在被攻陷的仓库中泄露。
-
已撤销泄露的凭证，并建议用户采取安全措施，特别是在使用构建平台发布包时。
-
安全研究人员披露了在Shai-Hulud活动中暴露的长期有效的PyPI凭证。
-
攻击者可以从同一仓库提取多个平台的凭证，尤其是使用monorepo设置的项目。
-
建议用户采取安全措施以保护PyPI账户，降低被攻击的风险。
延伸解读
安全意识的重要性
尽管PyPI未直接受到攻击，但此次事件提醒开发者必须提高安全意识。特别是在使用构建平台发布包时，确保凭证的安全性至关重要。开发者应定期检查和更新凭证，避免因泄露而导致的潜在风险。
多平台凭证泄露的风险
此次攻击显示，使用monorepo设置的项目面临更高的风险。攻击者可以从同一仓库提取多个平台的凭证，因此开发者在管理项目时应考虑分离不同平台的凭证，以降低被攻击的可能性。
采取主动安全措施
文章建议用户采取主动的安全措施来保护PyPI账户。这包括定期轮换凭证、使用强密码以及启用两步验证等。这些措施可以有效降低账户被攻击的风险，确保开发环境的安全。
延伸问答
Shai-Hulud攻击主要针对哪个生态系统？
Shai-Hulud攻击主要针对JavaScript生态系统中的npm。
PyPI凭证是如何泄露的？
一些PyPI凭证在被攻陷的GitHub仓库中泄露，攻击者可以从中提取多个平台的凭证。
用户应该如何保护他们的PyPI账户？
用户应采取安全措施，如定期更换凭证和使用安全的构建平台发布包。
此次攻击是否对PyPI造成了直接影响？
PyPI未直接受到攻击，但发现了一些凭证泄露的情况。
Shai-Hulud攻击的主要手段是什么？
攻击者利用被盗账户发布恶意包，并提取其他平台的凭证。
如何识别被泄露的PyPI凭证？
安全研究人员披露了在Shai-Hulud活动中暴露的长期有效的PyPI凭证。
