Python Package Index (PyPI) resmi meluncurkan serangkaian pembaruan antarmuka pengguna yang dirancang untuk memperjelas sinyal keamanan dan menampilkan detail paket dengan lebih baik. Pembaruan ini merupakan hasil dari riset pengguna bersama komunitas Python guna merespons pertumbuhan ekosistem yang kerap menjadi sasaran empuk pihak tidak bertanggung jawab.
Tab Keamanan Baru
Tab keamanan yang baru menghadirkan wadah khusus untuk mengomunikasikan status asal-usul rilis atau *provenance* serta menampilkan atestasi per file. PyPI menghitung status tersebut dengan memeriksa apakah setiap file rilis memiliki atestasi yang mencakup jenis *PyPI Publish* atau *SLSA Build Provenance*. Status *Full Provenance* berarti seratus persen file rilis memiliki atestasi, sementara status *No Provenance* menunjukkan ketiadaan atestasi yang biasanya terjadi pada rilis lama atau proyek yang belum menerapkan *Trusted Publishing*.
Selain itu, sistem kini menyertakan peringatan *provenance* untuk membantu pengguna mengenali file yang mungkin tidak berasal dari pengelola proyek asli. Peringatan tersebut meliputi *Incomplete Provenance*, *Inconsistent Provenance*, *Change of Provenance*, serta *Loss of Provenance* yang masing-masing menandai ketidakcocokan metadata, perbedaan sistem pembangun, migrasi repositori, atau hilangnya atestasi pada rilis sebelumnya.
Pembaruan Halaman Detail Proyek dan File Rilis
Halaman detail proyek kini menempatkan peringatan *provenance* di bagian atas halaman berdampingan dengan banner status untuk rilis yang ditarik, diarsipkan, maupun versi prarilis. Tab file rilis yang telah didesain ulang juga mempermudah pencarian serta penyaringan file berkat adanya ikon peringatan oranye untuk file terlambat yang diunggah lebih dari empat belas hari setelah rilis awal. Dokumentasi pengguna PyPI turut diperluas untuk memandu komunitas dalam menilai keamanan kode sumber hingga melaporkan masalah keamanan.
Inisiatif pembaruan antarmuka ini didanai oleh Open Source Security Foundation (OpenSSF) dan dikerjakan bersama Kabu Creative dengan mengimplementasikan rekomendasi dari OpenSSF Attestations Style Guide. Pihak PyPI menyampaikan apresiasi kepada OpenSSF, Kabu Creative, para kontributor, serta seluruh anggota komunitas yang telah berpartisipasi dalam pengujian desain akhir.
Sumber: Hacker News: Front Page
