11 月 16 日消息，Python軟件包存儲(chǔ)庫PyPI現(xiàn)已上線數(shù)字認(rèn)證（Digital Attestations）功能，這項(xiàng)功能允許軟件包維護(hù)者在發(fā)布包時(shí)附加經(jīng)過身份驗(yàn)證的數(shù)字簽章，以便于驗(yàn)明正身。9uM28資訊網(wǎng)——每日最新資訊28at.com

長(zhǎng)期以來，PyPI 一直受到虛假軟件包困擾，大量黑客尋找已下架的合法PyPI包，重新注冊(cè)相同名稱并上傳帶有惡意木馬的新包，或直接新建名稱類似知名 PyPI包的山寨版本。9uM28資訊網(wǎng)——每日最新資訊28at.com

而如今 PyPI 引入這套“數(shù)字認(rèn)證”功能正是為了強(qiáng)化軟件供應(yīng)鏈安全性，目前開發(fā)者可以在 PyPI 網(wǎng)站中找到入口，以便于驗(yàn)證包文件數(shù)字認(rèn)證信息。9uM28資訊網(wǎng)——每日最新資訊28at.com

9uM28資訊網(wǎng)——每日最新資訊28at.com

在技術(shù)層面上，這套“數(shù)字認(rèn)證”技術(shù)基于OIDC（OpenID Connect）身份認(rèn)證技術(shù)，能夠明確關(guān)聯(lián) PyPI 上的文件與其上游源代碼庫、工作流以及生成文件的提交記錄。每個(gè)發(fā)布的包都可被驗(yàn)證來源，確保用戶和企業(yè)不會(huì)下載到黑客制造的虛假包文件。同時(shí)也不再依賴傳統(tǒng)的公私鑰對(duì)，從而根本上避免了密鑰丟失或被盜的風(fēng)險(xiǎn)。9uM28資訊網(wǎng)——每日最新資訊28at.com

PyPI提到，符合條件的項(xiàng)目無需額外配置即可自動(dòng)生成數(shù)字認(rèn)證，例如軟件包維護(hù)者通過 GitHub Actions 發(fā)布項(xiàng)目，其生成的包便會(huì)自帶數(shù)字認(rèn)證，無需額外配置。未來，PyPI 計(jì)劃將這一功能推廣至其他可信發(fā)布環(huán)境。9uM28資訊網(wǎng)——每日最新資訊28at.com

本文鏈接：http://www.www897cc.com/showinfo-119-123832-0.htmlPython 軟件包存儲(chǔ)庫 PyPI 上線“數(shù)字認(rèn)證”功能：一鍵驗(yàn)明真身、避免中招黑客山寨包

聲明：本網(wǎng)頁內(nèi)容旨在傳播知識(shí)，若有侵權(quán)等問題請(qǐng)及時(shí)與本網(wǎng)聯(lián)系，我們將在第一時(shí)間刪除處理。郵件：2376512515@qq.com

上一篇： Docker 專業(yè)版 團(tuán)隊(duì)版今起漲價(jià)月費(fèi) 9 美元起，個(gè)人版依然免費(fèi)使用

下一篇： 微軟 Edge 131 瀏覽器穩(wěn)定版發(fā)布：改進(jìn)側(cè)邊欄等