ในขณะที่การนำระบบตรวจสอบการหมดอายุโดเมนของ PyPI มาใช้เมื่อเร็วๆ นี้ถือเป็นก้าวสำคัญในการป้องกันการโจมตี supply chain แต่การอภิปรายในชุมชนได้เผยให้เห็นช่องโหว่ด้านความปลอดภัยที่น่ากังวลพอๆ กันซึ่งส่งผลกระทบต่อผู้ใช้หลายล้านคนทั่วโลก นั่นคือการรีไซเคิลบัญชีอีเมลโดยผู้ให้บริการรายใหญ่
สถิติความปลอดภัย PyPI (มิถุนายน 2025)
- 1,800+ ที่อยู่อีเมลที่ไม่ได้รับการยืนยันเนื่องจากโดเมนหมดอายุ
- 30 วัน ช่วงเวลาการตรวจสอบสถานะโดเมน
- ทุกวัน การตรวจสอบอัตโนมัติที่นำมาใช้ตั้งแต่เมษายน 2025
- ต้องใช้ 2FA สำหรับบัญชีทั้งหมดที่มีกิจกรรมหลังจากวันที่ 1 มกราคม 2024
ภัยคุกคามที่ซ่อนเร้นของที่อยู่อีเมลที่ถูกรีไซเคิล
การสนทนาเกี่ยวกับการป้องกันการฟื้นคืนชีพโดเมนของ PyPI ได้เปิดเผยปัญหาที่กว้างขึ้นเกี่ยวกับระบบการยืนยันตัวตนผ่านอีเมล เมื่อผู้ใช้ทิ้งบัญชีอีเมลกับผู้ให้บริการรายใหญ่อย่าง Hotmail ของ Microsoft หรือบริการอื่นๆ ที่อยู่อีเมลเหล่านี้ไม่ได้หายไปตลอดกาล ซึ่งแตกต่างจากนโยบายของ Google ที่ไม่เคยรีไซเคิลที่อยู่ Gmail ผู้ให้บริการอีเมลหลายรายจะทำให้บัญชีที่ไม่ได้ใช้งานสามารถลงทะเบียนใหม่ได้ในที่สุด
สิ่งนี้สร้างสถานการณ์อันตรายที่ใครบางคนสามารถลงทะเบียนที่อยู่อีเมลที่เคยใช้แล้วและอาจเข้าถึงบัญชีออนไลน์ใดๆ ที่เกี่ยวข้องกับอีเมลนั้นผ่านกลไกการรีเซ็ตรหัสผ่าน ผลกระทบนี้ขยายไปไกลกว่า package repositories ไปยังบริการออนไลน์เกือบทุกแห่งที่อาศัยการยืนยันผ่านอีเมล
นโยบายบัญชีผู้ให้บริการอีเมล
| ผู้ให้บริการ | นโยบายการรีไซเคิลบัญชี | คุณสมบัติด้านความปลอดภัย |
|---|---|---|
| Google Gmail | ไม่เคยรีไซเคิลชื่อผู้ใช้ | การจองชื่อผู้ใช้แบบถาวร |
| Microsoft Hotmail | รีไซเคิลบัญชีที่ไม่ได้ใช้งาน | ระยะเวลาการเก็บรักษาแบบผันแปร |
| ผู้ให้บริการอื่นๆ | นโยบายแตกต่างกันอย่างมาก | มักไม่เปิดเผยกรอบเวลา |
ผลกระทบในโลกจริงต่อผู้ใช้
สมาชิกในชุมชนได้แบ่งปันประสบการณ์ที่น่ากังวลเกี่ยวกับช่องโหว่นี้ ผู้ใช้คนหนึ่งค้นพบว่าบัญชี Hotmail อายุสิบปีของพวกเขาถูก Microsoft ลบและถูกคนอื่นลงทะเบียนใหม่ในภายหลัง ทำให้บุคคลนั้นอาจเข้าถึงเว็บไซต์ทุกแห่งที่พวกเขาเคยลงทะเบียนด้วยอีเมลดังกล่าว
ฉันหวังว่า Microsoft จะทำแบบนี้กับ Hotmail ที่ถูกลบของฉัน แต่แทนที่จะเป็นแบบนั้น คนแปลกหน้าได้อีเมลของฉันไป และอาจเข้าถึงเว็บไซต์ทุกแห่งที่ฉันเคยลงทะเบียนด้วยอีเมลดังกล่าว...
สถานการณ์จะกลายเป็นปัญหาใหญ่โดยเฉพาะสำหรับผู้ใช้ที่พึ่งพาที่อยู่อีเมลโดเมนส่วนตัวหรือผู้ให้บริการอีเมลรายเล็กที่อาจมีนโยบายการรีไซเคิลบัญชีที่เข้มงวดน้อยกว่า
ความท้าทายทางเทคนิคและข้อจำกัด
แนวทางการตรวจสอบการหมดอายุโดเมนแม้จะมีประสิทธิภาพสำหรับโดเมนส่วนตัว แต่ไม่ได้แก้ไขความเสี่ยงด้านความปลอดภัยอีเมลในระบบนิเวศที่กว้างขึ้น ผู้ลงทะเบียนโดเมนต่างๆ และโดเมนเฉพาะประเทศมีนโยบายการหมดอายุที่แตกต่างกัน ทำให้การป้องกันแบบครอบคลุมเป็นเรื่องท้าทาย ตัวอย่างเช่น โดเมน .eu มีระยะเวลาหมดอายุ 45 วันเมื่อเทียบกับ 30 วันมาตรฐานสำหรับโดเมนส่วนใหญ่ทั่วโลก
นอกจากนี้ โดเมนบางประเทศอย่าง .de ไม่แสดงวันที่ลงทะเบียนในบันทึก WHOIS ทำให้ไม่สามารถตรวจสอบได้ว่าโดเมนถูกยกเลิกและลงทะเบียนใหม่โดยบุคคลอื่นหรือไม่
การเปรียบเทียบไทม์ไลน์การหมดอายุโดเมน
| ประเภทโดเมน | ระยะเวลาผ่อนผัน | หน่วยงานกำหนดนโยบาย |
|---|---|---|
| .com/.org/.net | 30 วัน | ICANN ERRP |
| โดเมน .eu | 45 วัน | EURid |
| โดเมน .de | แปรผันตามสถานการณ์ | DENIC (ไม่มีวันที่ลงทะเบียนใน WHOIS) |
| โดเมนประเทศ (ccTLDs) | แตกต่างกันไปตามประเทศ | หน่วยงานลงทะเบียนแต่ละแห่ง |
การป้องกันช่องโหว่ที่เกี่ยวข้องกับอีเมล
ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำกลยุทธ์หลายประการเพื่อลดความเสี่ยงเหล่านี้ ผู้ใช้ควรมีที่อยู่อีเมลที่ยืนยันแล้วหลายที่อยู่จากผู้ให้บริการต่างๆ โดยควรรวมอย่างน้อยหนึ่งที่อยู่จากผู้ให้บริการรายใหญ่ที่มีนโยบายการเก็บรักษาบัญชีที่เข้มแข็ง การเปิดใช้งานการยืนยันตัวตนสองขั้นตอนในบัญชีทั้งหมดจะให้ชั้นความปลอดภัยเพิ่มเติมที่ทำให้การโจมตีผ่านอีเมลยากขึ้นอย่างมาก
สำหรับบัญชีสำคัญ การตรวจสอบความปลอดภัยเป็นประจำควรรวมถึงการตรวจสอบว่าที่อยู่อีเมลใดเชื่อมโยงกับบริการสำคัญและอัปเดตหากนโยบายของผู้ให้บริการอีเมลเดิมเปลี่ยนแปลงหรือหากมีข้อสงสัยใดๆ เกี่ยวกับความปลอดภัยของบัญชี
การอภิปรายนี้เน้นให้เห็นว่าตัวตนดิจิทัลของเราเชื่อมโยงกันอย่างไรและผลกระทบด้านความปลอดภัยที่ลุกลามเมื่อองค์ประกอบใดองค์ประกอบหนึ่งในห่วงโซ่การยืนยันตัวตนถูกบุกรุก ในขณะที่แนวทางเชิงรุกของ PyPI แก้ไขช่องโหว่ในระดับโดเมน ความท้าทายที่กว้างขึ้นของความปลอดภัยการยืนยันตัวตนผ่านอีเมลยังคงเป็นความกังวลอย่างต่อเนื่องสำหรับระบบนิเวศอินเทอร์เน็ตทั้งหมด