🔧 Extend seccurity section

Author: veit

docs/productive/security/dependencies.rst

@@ -279,6 +279,68 @@ Zeile 4:
    `Searching across multiple indexes
    <https://docs.astral.sh/uv/concepts/indexes/#searching-across-multiple-indexes>`_
 
+Überprüft Package Attestations
+------------------------------
+
+:term:`PyPI` :ref:`Package Attestations <package-attestations>` liefern mithilfe
+von `Sigstore <https://www.sigstore.dev>`_ einen kryptografischen Nachweis über
+die Herkunft eines Pakets gemäß :pep:`740`. Seit `gh-action-pypi-publish v1.11.0
+<https://github.com/pypa/gh-action-pypi-publish/discussions/281>`_ werden
+die Bescheinigungen auch automatisch generiert. Bis Ende 2025 nutzten mehr als
+50-Tsd. Projekte *Trusted Publishing*, und 17 % der Uploads enthielten
+Attestations. *Trusted Publishing* wurde zudem auf Organisationen und
+selbstverwaltete GitLab-Instanzen ausgeweitet.
+
+.. seealso::
+   * `PyPI in 2025: A Year in Review
+     <https://blog.pypi.org/posts/2025-12-31-pypi-2025-in-review/>`_
+   * `Are we PEP 740 yet? 🔏
+     <https://trailofbits.github.io/are-we-pep740-yet/>`_
+
+:pep:`740` definiert neben *Package Attestations* auch :abbr:`SLSA (Supply-chain
+Levels for Software Artifacts)`-Provenance-AttestationsFür Anwendungsfälle
+außerhalb von :term:`PyPI` kann `actions/attest
+<https://github.com/actions/attest>`_ SLSA-Provenienz- und
+:doc:`SBOM <sbom>`-Bescheinigungen für jedes Artefakt generieren.
+
+Im Fall des Angriffs auf :ref:`Ultralytics <ultralytics>` hätte mit den
+Attestations erkannt werden können, welche Versionen aus einem kompromittierten
+Workflow stammten und welche legitim waren – ganz ohne manuelle forensische
+Analyse. Die Transparency-Logs von Sigstore bieten einen unabhängigen Prüfpfad
+mit exakten Zeitstempeln und Angaben zur Herkunft jedes veröffentlichten
+Artefakts.
+
+Fügt zeitbasierte Abwehrmaßnahmen hinzu
+---------------------------------------
+
+Wenn ein bösartiges Paket auf :term:`PyPI` veröffentlicht wird, ist es sofort
+weltweit verfügbar. Die Erkennungszeiten variieren – manche Angriffe werden
+innerhalb weniger Stunden entdeckt, während andere wochen- oder monatelang
+unbemerkt bleiben. 2025 gab es über 2.000 Malware-Meldungen, wovon 66 %
+innerhalb von vier Stunden bearbeitet wurden.
+
+Mit dem Abwarten vor der Verwendung neu veröffentlichter Pakete erhaltet ihr
+zwar keine Garantie, aber das Risiko wird vermindert, dass die Community
+offensichtliche Bedrohungen aufzudeckt.
+
+Moderne Paketmanager unterstützen zeitbasierte Filterung. :term:`uv` verfügt
+über die Option ``--exclude-newer``, und pip ≥ v26 hat die Option
+``--uploaded-prior-to`` mit demselben Zweck eingeführt wobei beide sich gemäß
+:pep:`700` auf Metadaten zur Upload-Zeit stützen.
+
+Verwendet interne Paket-Repositories in euren Organisationen
+------------------------------------------------------------
+
+In kleineren Organisationen kann ein einfacher Spiegel des :term:`PyPI`, der
+Pakete um eine Woche verzögert bereitstellt, bereits das Sicherheitsrisiko für
+die Organisation vermindern. Ihr solltet dann jedoch darauf achten, dass ihr für
+kritische Sicherheitspatches die Verzögerung aufheben könnt. Sofern ihr in eurer
+Organisation interne Paket-Repositories verwendet, könnt ihr darüberhinaus noch
+weitere Sicherheitsmaßnahmen treffen:
+
+#. Automatisierte Security-Scans der Pakete
+#. Automatisiertes Bauen der Pakete mit *Trusted Publishing* und SLSA-Provenienz
+
 ----
 
 Im folgenden schauen wir uns nun an, wie die Abhängigkeiten in unseren

docs/productive/security/environments.rst

@@ -78,9 +78,12 @@ verwenden, :abbr:`z. B. (zum Beispiel)` mit:
 Überprüft eure GitHub-Actions
 -----------------------------
 
-:ref:`zizmorcore` ist ein Tool zur statischen Analyse, das Sicherheitslücken in
-GitHub-Actions-Workflows aufspürt – darunter Template-Injection, nicht fixierte
-Aktionen, übermäßige Berechtigungen, das Offenlegen von Anmeldedaten sowie `mehr
-als 30 weitere Prüfregeln <https://docs.zizmor.sh/audits/>`_. ``zizmor`` erkennt
-Schwachstellen wie diejenigen, die durch :ref:`token_exfiltration` ausgenutzt
-wurden.
+`zizmor <https://docs.zizmor.sh>`_ ist ein Tool zur statischen Analyse, das
+Sicherheitslücken in GitHub-Actions-Workflows aufspürt – darunter
+Template-Injection, nicht fixierte Aktionen, übermäßige Berechtigungen, das
+Offenlegen von Anmeldedaten sowie `mehr als 30 weitere Prüfregeln
+<https://docs.zizmor.sh/audits/>`_. ``zizmor`` erkennt Schwachstellen wie
+diejenigen, die durch :ref:`token_exfiltration` ausgenutzt wurden.
+
+.. seealso::
+   * :ref:`zizmorcore`

docs/productive/security/index.rst

@@ -79,6 +79,8 @@ Token Exfiltration
        `Token Exfiltration Campaign via GitHub Actions Workflows
        <https://blog.pypi.org/posts/2025-09-16-github-actions-token-exfiltration/>`_
 
+.. _ultralytics:
+
 Ultralytics
     Im Dezember 2024 wurde `ultralytics
     <https://pypi.org/project/ultralytics/>`_ Opfer eines Supply-Chain-Angriffs,