자꾸만 공격 받는 PyPI...메인테이너 계정 이중인증으로 보호한다

요약 : 보안 외신 시큐리티위크에 의하면 파이선 생태계의 거대 리포지터리인 PyPI가 프로젝트 메인테이너들의 계정에는 이중인증 옵션이 적용되도록 한다는 방침을 발표했다고 한다. 프로젝트를 관리하는 메인테이너들은 2023년 말까지 이중인증 옵션을 반드시 사용해야만 한다. 메인테이너 계정을 공격자가 탈취하면 공급망 공격을 실시할 수 있게 되기 때문이다. 이중인증 옵션을 사용하지 않는 메인테이너 계정들에는 서비스 제한이 있을 수 있다고 한다.


[이미지 = gettyimagesbank]

배경 : PyPI와 같은 리포지터리들은 최근 사이버 공격자들의 집중적인 공격 대상이 되고 있다. 이곳을 통해 악성 코드를 유포할 경우 전 세계 개발자들이 전부 다운로드 받아가 소프트웨어를 개발하기 때문에 파급 효과가 매우 좋기 때문이다. 유명 프로젝트를 관리하는 사람들의 계정은 특히 공격자들의 먹잇감이 되기 쉽다.

말말말 : “지금부터 2023년이 끝날 때까지 프로젝트 메인테이너들은 이중인증 옵션을 반드시 활성화해야 합니다. 일부 메인테이너들을 선별하여 조기에 옵션 적용을 유도할 수도 있습니다.” -PyPI-
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>