После инцидента с удостоверяющими центрами eMudhra/emSign разработчики Python опубликовали 20 октября рекомендации по обновлению инструментов. Они касаются доверенных сертификатов, с помощью которых программы проверяют подлинность серверов при защищённом соединении.
Важная деталь: обычный pip содержит собственную копию certifi — набора доверенных корневых сертификатов. Поэтому обновление хранилища операционной системы само по себе не обновит этот набор внутри старого pip. Для пакетов, доработанных поставщиком Linux-дистрибутива, нужно учитывать его собственные изменения и рекомендации.
Проект рекомендует pip 26.2.2, certifi 2026.10.19, uv 0.13.4 и sigstore 4.5.1 либо более новые версии. Проверить стоит также уже созданные виртуальные окружения и контейнеры: обновление инструмента на основном компьютере не переносится в них автоматически. При пересборке контейнерного образа рекомендуется отключить кэш, чтобы в него попали актуальные сертификаты.
#TECH #SECURITY
@digitaltimeslv
Изображение: Python Software Foundation.
Original in Telegram: https://t.me/digitaltimeslv/11107