PyPI 被美国司法部传唤

近日,Python 软件基金会的基础设施总监 Ee Durbin 在 PyPI 官方博客中透露: 2023 年 3 月和 4 月,Python 软件基金会 (PSF) 共收到了三份 PyPI 用户数据传票,三张传票均由美国司法部发出。

但美司法部的目标并非 PyPI ,而是在三张传票中总共请求了五个 PyPI 用户名相关的用户数据。其要求的用户数据包括 

  1. 姓名(包括订户姓名、用户名和屏幕名称);
  2. 地址(包括邮寄地址、居住地址、公司地址和电子邮件地址);
  3. 连接记录;
  4. 会话时间和持续时间的记录,以及与这些会话相关的临时分配的网络地址(例如互联网协议地址);
  5. 服务期限(包括开始日期)和使用的服务类型;
  6. 电话或文书号码(包括注册的互联网协议地址);
  7. PyPI 服务的付款方式和来源(包括信用卡或银行帐号)和账单记录;
  8. (PyPI) 包的上传记录的给定用户名
  9. (PyPI) 包的 IP 下载日志的给定用户名

美司法部没有向 Python 软件基金会提供有关这些 PyPI 传票的法律环境和背景信息。有网友推测这是正在追捕一个在恶意攻击中利用了 PyPI 的组织,因为美司法部所要求的数据,非常符合“调查案件时从服务提供商处查找数据”的标准。

Python 软件基金会就此时咨询了律师,律师建议称只有一种行动方案,那就是老老实实地按要求提供相关数据。

PyPI 在 3/4 月份收到传票,但在保密令的影响下等到 5 月才能公布。也就是说,PyPI  很有可能不止收到三份传票,只是剩下的还不能公开。

PyPI 因恶意攻击行为被传唤似乎也挺正常,毕竟上面的恶意用户和恶意软件实在太多了。上周末,因 PyPI 索引上一周新创建的恶意用户/项目的数量实在太多,恰好大部分管理员又在休假,剩余的管理员完全应付不过来,只能暂时停止了新用户注册和新项目上传功能。

猜你喜欢

转载自www.oschina.net/news/242333/pypi-was-subpoenaed
今日推荐