Nel mio repo pubblico c'erano delle password (nella history). Se qualcuno ha fatto il fork, può vederle dalla history. Posso controllare questi fork? Ricevo notifiche?
Ho già pulito la history su GitHub (BFG), ma i fork conservano il vecchio codice. Ho paura che la password sia ancora a rischio.
Come posso minimizzare il rischio di leak di secret quando apro un repo pubblico?
Monitoraggio leak secret GitHub: I fork copiano la history del repo originale, dopo il push con BFG i fork conservano ancora i vecchi secret. Verifica: 1) GitHub Insights → Network (mostra il grafico dei fork, sappiamo chi ha fatto il fork), 2) non abbiamo diritti diretti sui fork, ma possiamo inviare una notifica DMCA agli owner (GitHub abuse@github.com), 3) Secret scanning: GitHub Advanced Security (attiva secret scanning → alert sui repo pubblici), 4) Monitoraggio di terze parti (GitGuardian: alert email se una password appare su GitHub pubblico), 5) Cambio password database (anche se nei fork ci sono vecchi secret, finché la password attuale è nuova non ci sono problemi di accesso). Dopo la mitigazione: 1) Pulisci la history con BFG nel repo originale, force push, 2) Messaggio agli owner dei fork (bassa probabilità di risposta), 3) Segnala a GitHub abuse (i fork sono spesso abbandonati — nessun supporto per la pulizia), 4) Ruota i secret (database, API key, token). Prevenzione proattiva: 1) .gitignore (escludi secret), 2) GitHub secret scanning + regole di protezione (blocca commit con secret), 3) pre-commit hooks (scansione locale), 4) Inizia con un repo privato, quando diventa pubblico deve essere privo di secret. Valutazione del rischio: se i vecchi secret nei fork non vengono usati (ruotati), il rischio immediato è basso (valore storico), ma la postura di sicurezza sembra scarsa.
controlla i fork nella tab network. se ci sono vecchi secret cambia comunque la password del database. puoi mandare una notifica dmca su github non è possibile controllare i fork privati. attiva secret scanning su github per ricevere alert....
Monitoraggio fork GitHub: 1) REST API (curl https://api.github.com/repos/user/repo/forks → elenca tutti i fork, timestamp created_at), 2) Network graph (l'interfaccia di GitHub mostra la timeline dei fork + il proprietario), 3) GitGuardian (monitora GitHub pubblico, avvisa via email se compaiono credenziali), 4) Dependency Check (OWASP: scansiona il repo per dati sensibili noti nelle dipendenze). Scansione dati sensibili: GitHub Advanced Security (Enterprise/Pro) scansiona automaticamente, di terze parti TokenScan (monitora i push su GitHub). Notifiche: Segnalazione DMCA (GitHub invia una richiesta di rimozione al proprietario del fork), messaggio privato (tasso di successo più basso). Rischio: vecchi dati sensibili nel fork + leak nel fork = l'attaccante vede le credenziali, ma se l'originale è stato ruotato l'accesso viene negato (basso rischio immediato).
Controlla i fork sono elencati nella tab network. Attiva secret scanning su GitHub. Se hai ruotato la password, i fork non servono a nulla. Manda una notifica DMCA su GitHub, ma raggiungere gli owner dei fork è difficile. In futuro non salvare mai nulla di sensibile nei repo pubblici punto...
GitHub best practice di sicurezza: 1) Impostazioni del repo (private di default pubbliche solo per progetti maturi), 2) Scansione obbligatoria dei dati sensibili (GitHub Advanced Security: blocca i push con segreti), 3) Branch protection (richiedi review + check superati), 4) Audit log (vedi chi ha pushato cosa), 5) CODEOWNERS (assegnazione delle review del codice). Sicurezza dei fork: il fork eredita lo storico del parent + la scansione dei segreti (se attiva), ma il proprietario del fork controlla le impostazioni in modo indipendente. Trasparenza delle fix: pubblica un security advisory, pubblica un report dell'incidente documenta la root cause + le correzioni.
Esatto, e non è nemmeno così noto. Quando decidiamo senza misurare finiamo sempre nello stesso punto.
Confermato dall'esperienza.
C'è una trappola qui, non posso non segnalarla. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.
I primi tre mesi vanno bene, i problemi emergono al quarto mese. Correggetemi se sbaglio.
Sono d'accordo. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.
Doki · Configurazione gestione log · 2024
Guardando al processo, il quadro cambia. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.
Se avete domande, scrivete, rispondo per quanto possibile.
C'è una trappola qui, non posso non segnalarla. Inizia con un piccolo test, non impegnarti subito su tutto.
È tutto, scusate se mi sono dilungato.
Grazie per averlo scritto, è proprio così. Un report di scansione automatica e un penetration test non sono la stessa cosa.
Sosterrò l'opposto, non prendetela male. I primi tre mesi vanno bene, i problemi emergono al quarto mese.
Avete ragione sono passato anch'io per la stessa strada. Le persone difendono le abitudini non i processi. La resistenza nasce da lì.
Avrei una domanda, non vorrei deviare dall'argomento, ma... Prendere misure senza fare un inventario lascia aperta una porta che non vedi.
Sono curioso di sapere se qualcuno lo fa in modo diverso.
Concordo pienamente. Chiunque abbia fretta su leak github si blocca nello stesso punto.
È tutto, scusate se mi sono dilungato.
Grazie mille, proverò oggi. I primi tre mesi vanno bene, i problemi emergono al quarto mese.
È tutto, scusate se mi sono dilungato.
Sono d'accordo in parte, in parte no. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.
Se permessi e ambito non sono scritti, quel test non deve iniziare.