安全与可用性提升：PyPI现代化改造
2019年，我们通过OTF与Changeset Consulting、Kabu Creative合作，对支撑Python包索引(PyPI)的代码库Warehouse进行了安全升级：
- 强效多因素认证：部署TOTP和WebAuthn协议
- 范围化API令牌：替代不安全的用户名/密码发布方式
- 审计事件系统：记录账户和项目的安全敏感操作
- 无障碍优化：使Web界面符合W3C无障碍指南
这些改进使PyPI成为软件包索引安全实践的"黄金标准"，其日均处理超10亿次下载的庞大规模使得这些安全增强影响深远。
PyPI基础设施深度审计
2023年我们对PyPI生态系统进行了为期10人周的全面审计：
- 核心组件：Warehouse前端/后端代码库
- 部署系统：cabotage（类Heroku部署平台）
共发现29个安全问题，涉及隐私泄露和服务完整性风险。PyPI团队出色的自动化测试体系使得多数问题出现在服务交互边界层，这为其他软件供应链安全提供了重要参考。
移动安全：OpenArchive Save应用加固
针对记者和人权工作者使用的Save应用，我们进行了：
- 威胁建模：考虑国家级别审查风险
- 动态测试：iOS/Android双平台代码审查
- 防御升级：
- 抵抗社会工程攻击
- 本地媒体加密存储
- 敌对网络环境安全传输
- 密码学最佳实践指导
未来方向
我们将持续投入：
- 模糊测试与持续集成安全
- 开源生态建设：扩大PyPI安全经验到其他领域
- 测试手册：公开分享《测试实践指南》
通过OTF"社区、协作、好奇"的理念，我们正推动互联网自由与安全技术的共同进步。