افزایش شفافیت امنیتی در PyPI با معرفی تب جدید Security
PyPI makes release attestations easier to find with new security tab
مخزن بسته های پایتون (PyPI) با افزودن یک تب اختصاصی برای امنیت، امکان بررسی اصالت و منشأ فایل‌های منتشر شده را برای توسعه‌دهندگان فراهم کرده است. این قابلیت جدید به کاربران اجازه می‌دهد تا با استفاده از گواهی‌های دیجیتال، مسیر ساخت و انتشار هر بسته را به صورت شفاف ارزیابی کنند.
جزئیات فنی گواهی‌های اصالت (Attestations)
تب Security در صفحات پروژه‌ها، وضعیت گواهی‌های دیجیتال فایل‌ها را نمایش می‌دهد. گواهی PyPI Publish مشخص می‌کند که کدام Trusted Publisher فایل را بارگذاری کرده است، در حالی که گواهی SLSA Build Provenance فایل را به کامیت منبع، پلتفرم ساخت و دستورالعمل‌های مربوطه متصل می‌کند. در صورتی که تمام فایل‌های یک نسخه دارای گواهی باشند، آن نسخه دارای اصالت کامل (Full Provenance) محسوب می‌شود.
فقدان گواهی به معنای مخرب بودن فایل نیست، بلکه نشان‌دهنده عدم امکان تأیید رمزنگاری‌شده منشأ آن است که در پروژه‌های قدیمی یا پروژه‌هایی که از Trusted Publishing استفاده نمی‌کنند، رایج است. در این شرایط، توسعه‌دهندگان باید تاریخچه نگهدارنده، الگوهای انتشار و فعالیت مخزن را بررسی کنند.
سیستم هشدار و نظارت بر تغییرات گردش کار
PyPI در صورت ناقص بودن گواهی‌ها یا تفاوت در منشأ فایل‌های یک نسخه، هشدارهایی را در بالای صفحه پروژه نمایش می‌دهد. این هشدارها زمانی ظاهر می‌شوند که یک نسخه از مخزن یا گردش کاری متفاوتی نسبت به نسخه قبلی منتشر شده باشد یا پروژه‌ای که قبلاً گواهی ارائه می‌داد، این کار را متوقف کرده باشد. اگرچه این تغییرات ممکن است دلایل قانونی مانند تغییر نام سازمان داشته باشند، اما می‌توانند نشان‌دهنده نفوذ به خط لوله انتشار یا تصاحب حساب کاربری باشند.
علاوه بر این، در تب Release Files، وضعیت اصالت هر فایل قابل جستجو و فیلتر است. برای فایل‌هایی که پیش از تغییر سیاست ژوئیه 2026 بارگذاری شده‌اند، اگر بیش از 14 روز پس از انتشار اولیه آپلود شده باشند، پرچم‌گذاری می‌شوند. پس از آن تاریخ، PyPI از پذیرش هرگونه بارگذاری دیرهنگام خودداری می‌کند.
نکته‌های کلیدی
- افزوده شدن تب Security برای مشاهده وضعیت گواهی‌های دیجیتال و منشأ فایل‌ها.
- استفاده از گواهی‌های PyPI Publish و SLSA Build Provenance برای تأیید اصالت.
- نمایش هشدارهای امنیتی در صورت تغییر در گردش کار انتشار یا ناقص بودن گواهی‌ها.
- امکان بررسی وضعیت اصالت در تب‌های Release Files و Release History.
- اعمال محدودیت زمانی برای بارگذاری فایل‌ها از ژوئیه 2026 به بعد.
چه باید کرد
- در هنگام ارزیابی بسته‌ها، تب Security را برای اطمینان از وجود گواهی‌های معتبر بررسی کنید.
- در صورت مشاهده هشدارهای مربوط به تغییر گردش کار یا فقدان گواهی، تاریخچه نگهدارنده و فعالیت‌های اخیر پروژه را با دقت بیشتری بررسی کنید.
- برای پروژه‌های خود، قابلیت Trusted Publishing را جهت افزایش شفافیت و امنیت بسته‌ها پیکربندی کنید.