Sign PyPI releases
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 15/100
Línea de trabajo
The payload names no files, so start by reading how the package is published to PyPI in this repository's release setup. The issue offers two options: signing uploads with twine --sign, or publishing a GPG-signed list of file hashes for pip install --hash. Pick one only after the maintainers agree on it, since the thread has no decision. Done means a documented, verifiable signing step that a maintainer has accepted.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Describe the bug
When a user downloads this python module using pip, there is no cryptographic authenticity or integrity validation to protect the user from a MITM attack.
Therefore, this project is making any other projects that obtain the b2 module via pip in their build process vulnerable to a watering hole attack.
Expected behavior
A developer should have a mechanism to cryptographically verify the integrity and authenticity of b2 when obtaining it through pip.
To Reproduce
pip install b2
Additional context
Possible solutions include:
-
Using the
--signargument oftwinewhen uploading packages to PyPI -
Publishing a cryptographically signed document (ideally using
gpg) listing the hashes for all packages uploaded to PyPI, which users can then pass intopipusing the--hashargument
- Lenguaje dominante
- Python
- Estrellas
- 638
- Forks
- 138
- Merge medio
- 8 h 27 min
- PR fusionados (30 d)
- 8
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de Backblaze/B2_Command_Line_Tool
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
Backblaze/B2_Command_Line_Tool#553 · 2 comentarios · 3 reacciones ·
Los mantenedores suelen responder en 1 día
-
Adopt the AI-native SDLC playbook and repository policiesPosiblemente ocupada @goanpeca la tomó hace 18 días. Abiertoenhancement
Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100
Backblaze/B2_Command_Line_Tool#1192 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100
Backblaze/B2_Command_Line_Tool#1168 ·
Los mantenedores suelen responder en 1 día
-
Add to MacPortsAbierto
Dificultad 3/5 1-2 días Aptitud para principiantes 50/100
Backblaze/B2_Command_Line_Tool#1161 ·
Los mantenedores suelen responder en 1 día
-
b2 ls timestamps human readableAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 56/100
Backblaze/B2_Command_Line_Tool#1155 ·
Los mantenedores suelen responder en 1 día
Todos los issues de Backblaze/B2_Command_Line_Tool
Issues similares
-
Dificultad 1/5 Menos de una hora Aptitud para principiantes 72/100
btclib-org/btclib-node#2505 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
open-webui/open-webui#34462 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
gorakhargosh/watchdog#1462 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 85/100
openwisp/openwisp-monitoring#889 ·
Los mantenedores suelen responder en 2 días
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
IETF-Hackathon/pqc-certificates#351 ·
Los mantenedores suelen responder en 2 días