كان فيه باسورد في الـ public repo بتاعي زمان (في الـ history). لو حد عمل fork، ممكن يشوفه من الـ history. أقدر أتحقق من الـ forks دي؟ هوصلني إشعار لو حصل؟
أنا فعلاً مسحت الـ history على GitHub (باستخدام BFG)، بس الـ forks لسه محتفظين بالكود القديم. خايف الباسورد يفضل في خطر.
إزاي أقلل خطر تسريب الـ secrets لما أفتح public repo من دلوقتي؟
مراقبة تسريبات GitHub Secrets: الـ forks بتعمل نسخة من تاريخ الـ repo الأصلي، وبعد ما تعمل force push بـ BFG، الـ forks لسه بتحتفظ بالـ secrets القديمة. طرق التحقق: 1) GitHub Insights → Network (بتعرض رسم بياني للـ forks وبتعرف مين عمل fork)، 2) مفيش عندنا صلاحية نلمس الـ forks مباشرة، بس ممكن نبعت إشعار DMCA لأصحابها (عبر GitHub abuse@github.com)، 3) فحص الـ Secrets: GitHub Advanced Security (فعّل فحص الـ Secrets → هتوصلك تنبيهات على الـ repos العامة)، 4) مراقبة طرف ثالث (GitGuardian: بيبعتلك إيميل لو ظهر باسورد في GitHub العام)، 5) تغيير باسورد قاعدة البيانات (حتى لو الـ secrets القديمة موجودة في الـ forks، طالما الباسورد الحالي جديد، مفيش مشكلة في الوصول). بعد تنفيذ الإجراءات: 1) نظف الـ history بـ BFG في الـ repo الأصلي، واعمل force push، 2) ابعت رسالة لأصحاب الـ forks (احتمال الرد ضعيف)، 3) ابلغ GitHub عن إساءة الاستخدام (الـ forks غالباً مهجورة — مفيش دعم لتنظيفها)، 4) غيّر الـ Secrets (قاعدة البيانات، مفاتيح API، التوكنات). الوقاية الاستباقية: 1) ملف .gitignore (استبعد الـ secrets)، 2) فحص وحماية الـ Secrets في GitHub (منع الـ commits اللي فيها secrets)، 3) pre-commit hooks (فحص محلي)، 4) ابدأ بـ private repo، ولما تخليه public تأكد إنه خالي من الـ secrets. تقييم المخاطر: لو الـ secrets القديمة في الـ forks مش مستخدمة (تم تغييرها)، الخطر الفوري منخفض (قيمة تاريخية بس)، بس الوضع الأمني العام بيبدو ضعيف.
اتأكد من الـ forks في تبويب network. لو فيه secrets قديمة، غير باسورد قاعدة البيانات على أي حال... على كل حال ممكن تبعت إشعار DMCA على GitHub، لكن التحكم في الـ forks الخاصة مش ممكن. فعّل فحص الـ Secrets على GitHub عشان توصلك تنبيهات....
تتبع الـ forks على GitHub: 1) REST API (curl https://api.github.com/repos/user/repo/forks → يسرد كل الـ forks، مع طابع زمني created_at)، 2) Network graph (واجهة GitHub بتعرض خط زمني للـ forks + اسم المالك)، 3) GitGuardian (يراقب GitHub العام، ويبعت تنبيه إيميل لو ظهرت بيانات اعتماد)، 4) Dependency Check (OWASP: يفحص الـ repo بحثاً عن بيانات سرية معروفة في التبعيات). فحص البيانات السرية: GitHub Advanced Security (Enterprise/Pro) يفحص تلقائياً، وأدوات طرف ثالث زي TokenScan (تراقب الـ pushes على GitHub). الإشعارات: إشعار DMCA (GitHub يرسل طلب إزالة لمالك الـ fork)، أو رسالة خاصة (نسبة نجاح أقل). المخاطر: بيانات سرية قديمة في الـ fork + تسريب في الـ fork = المهاجم يشوف بيانات الاعتماد، لكن لو تم تغيير الأصل، الوصول بيتم رفضه (خطر فوري منخفض).
اتأكد من الـ forks، هي متسردة في تبويب network. فعّل فحص الـ Secrets على GitHub... يعني لو غيرت الباسورد (rotate)، الـ forks مش هتنفع. ابعت إشعار DMCA على GitHub، بس الوصول لأصحاب الـ forks صعب... في المستقبل، متخزنش أي حاجة حساسة في الـ public repo، خلاص...
أفضل ممارسات الأمان في GitHub: 1) إعدادات المستودع (خاص افتراضياً، عام فقط للمشاريع الناضجة)، 2) إلزامية فحص البيانات السرية (GitHub Advanced Security: منع رفع الكود الذي يحتوي على بيانات سرية)، 3) حماية الفروع (إجبار المراجعة + اجتياز الفحوصات)، 4) سجل التدقيق (لمعرفة من رفع ماذا)، 5) ملف CODEOWNERS (تعيين مراجعي الكود). أمان النسخ (Fork): النسخة المقلوبة ترث تاريخ الأصل + فحص البيانات السرية (إذا كان مفعلاً)، لكن مالك النسخة يتحكم في الإعدادات بشكل مستقل. شفافية الإصلاح: نشر إشعار أمني (GitHub security advisory)، نشر تقرير الحادث، وتوثيق السبب الجذري + الإصلاحات.
بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.
مثبت بالتجربة.
هناك فخ هنا، لا أريد المرور عليه دون ذكره. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.
تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. صححوا لي إن أخطأت.
Doki · إعداد إدارة السجلات · 2024
عند النظر إلى العملية ككل، تتغير الصورة. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.
اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.
هناك فخ هنا، لا أريد المرور عليه دون ذكره. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.
هذا كل شيء، أرجو المعذرة إذا أطالت.
سأدافع عن الرأي المعاكس، لا تغضبوا. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.
لدي سؤال، ولا أريد الخروج عن صلب الموضوع. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.
إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.
أوافقك الرأي تمامًا. كل من يستعجل في تسريب جيثب يتعثر في نفس النقطة.
هذا كل شيء، أرجو المعذرة إذا أطالت.
شكرًا جزيلاً، سأجربها اليوم. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.
هذا كل شيء، أرجو المعذرة إذا أطالت.
أتفق جزئياً، وأختلف جزئياً. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.
إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.