Il y avait des mots de passe dans mon repo public (dans l'historique). Si quelqu'un a forké, il peut les voir dans l'historique. Je peux vérifier ces forks ? Je peux recevoir des notifs ?
J'ai déjà nettoyé l'historique sur GitHub (BFG), mais les forks gardent l'ancien code. J'ai peur que le mot de passe soit toujours à risque.
Comment minimiser le risque de fuite de secrets quand j'ouvre un repo public maintenant ?
Surveillance des fuites de secrets GitHub : Les forks copient l'historique du repo original, même après un push avec BFG, les forks gardent les anciens secrets. Vérification : 1) GitHub Insights → Network (montre le graphe des forks, on sait qui a forké), 2) on ne peut pas toucher directement aux forks, mais on peut envoyer une notice DMCA aux propriétaires (GitHub abuse@github.com), 3) Secret scanning : GitHub Advanced Security (activer le secret scanning → alertes sur les repos publics), 4) Surveillance tierce (GitGuardian : alertes email si un mot de passe apparaît sur GitHub public), 5) Changer le mot de passe de la base de données (même si les anciens secrets sont dans les forks, pas de problème d'accès tant que le mot de passe actuel est nouveau). Après mitigation : 1) Nettoyer l'historique avec BFG sur le repo original, force push, 2) Message aux propriétaires des forks (faible chance de réponse), 3) Signaler à GitHub abuse (les forks sont souvent abandonnés — pas de support pour le nettoyage), 4) Rotation des secrets (base de données, clés API, tokens). Prévention proactive : 1) .gitignore (exclure les secrets), 2) GitHub secret scanning + règles de protection (bloquer les commits avec secrets), 3) Hooks pre-commit (scan local), 4) Commencer par un repo privé, le rendre public une fois débarrassé des secrets. Évaluation du risque : si les anciens secrets des forks ne sont plus utilisables (rotates), le risque immédiat est faible (valeur historique), mais la posture de sécurité paraît mauvaise.
vérifie les forks dans l'onglet network. si y'a encore des secrets change le mot de passe de la bdd quand même. tu peux envoyer une notice dmca sur github pas moyen de vérifier les forks privés mais active le secret scanning sur github pour avoir des alertes....
Surveillance des forks GitHub : 1) API REST (curl https://api.github.com/repos/user/repo/forks → liste tous les forks, timestamp created_at), 2) Graphe réseau (l'interface GitHub montre la timeline des forks + le propriétaire), 3) GitGuardian (surveille GitHub public, alerte email si un identifiant apparaît), 4) Dependency Check (OWASP : scanne le repo pour les secrets connus dans les dépendances). Secret scanning : GitHub Advanced Security (Enterprise/Pro) scanne automatiquement, TokenScan tiers (surveille les pushes GitHub). Notification : Notice DMCA (GitHub envoie une demande de retrait au propriétaire du fork), message privé (taux de succès plus faible). Risque : ancien secret du fork + fuite dans le fork = l'attaquant voit les identifiants, mais si ils sont rotatés, l'accès original est refusé (risque immédiat faible).
Vérifie les forks, ils sont listés dans l'onglet network. Active le secret scanning sur GitHub. bref si t'as rotaté le mot de passe, les forks servent à rien. Envoie une notice DMCA sur GitHub mais c'est dur de joindre les proprios des forks. À l'avenir ne stocke jamais rien de sensible dans un repo public, point final...
Bonnes pratiques de sécurité GitHub : 1) Paramètres du dépôt (privé par défaut, public uniquement pour les projets matures) 2) Application stricte du scan de secrets (GitHub Advanced Security : bloquer les push contenant des secrets), 3) Protection des branches (exiger une revue + des checks passants) 4) Journalisation d'audit (voir qui a poussé quoi), 5) CODEOWNERS (attribution des revues de code). Sécurité des forks : le fork hérite de l'historique du parent + du scan de secrets (si activé) mais le propriétaire du fork contrôle les paramètres indépendamment. Transparence de la remédiation : publier une alerte de sécurité (avis de sécurité GitHub) publier un rapport d'incident, documenter la cause racine + les correctifs.
Exactement, et ce n'est pas si connu que ça. Quand on décide sans mesurer on revient toujours au même point.
C'est confirmé par l'expérience.
Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Quand on décide sans mesurer, on revient toujours au même point.
Tout va bien les trois premiers mois, les problèmes arrivent au quatrième. Corrigez-moi si je me trompe.
Je suis d'accord. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.
Doki · Mise en place de la gestion des logs · 2024
En regardant le processus, le tableau change. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.
Si vous avez des questions, écrivez-moi, je répondrai au mieux.
Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.
Voilà, désolé si je me suis étendu.
Merci d'avoir écrit cela, c'est exactement ça. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.
Je vais défendre l'opposé, ne m'en veuillez pas. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.
Vous avez raison je suis aussi passé par là. Les gens défendent l'habitude pas le processus. La résistance vient de là.
J'aurais une question, sans vouloir m'éloigner du sujet. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.
Je suis aussi curieux de savoir si d'autres font autrement.
Je suis entièrement d'accord. Tous ceux qui se pressent sur fuite github se heurtent au même obstacle.
Voilà, désolé si je me suis étendu.
Merci beaucoup, je teste dès aujourd'hui. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.
Voilà, désolé si je me suis étendu.
Je suis d'accord en partie, pas en partie. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.
Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.