В моём публичном репо раньше был пароль (в истории). Если кто-то сделал форк, он может увидеть его в истории. Могу ли я проверить эти форки? Придут ли уведомления?
Я уже почистил историю на GitHub (через BFG), но форки хранят старый код. Боюсь, что пароль всё ещё под угрозой.
Как минимизировать риск утечки секретов при создании публичных репо в будущем?
Мониторинг утечек секретов на GitHub: Форки копируют историю оригинального репо, после пуша через BFG форки всё равно хранят старые секреты. Проверка: 1) GitHub Insights → Network (показывает граф форков, видно, кто форкнул), 2) мы не имеем прямого доступа к форкам, но можем отправить DMCA notice владельцам (GitHub abuse@github.com), 3) Secret scanning: GitHub Advanced Security (включить сканирование секретов → алерты в публичных репо), 4) Сторонний мониторинг (GitGuardian: алерты на почту, если пароль появится в публичном GitHub), 5) Смена пароля БД (даже если в форках старый секрет, пока текущий пароль новый, проблем с доступом нет). После митигации: 1) Очистка истории через BFG в оригинальном репо, force push, 2) Сообщение владельцам форков (маловероятно, что ответят), 3) Жалоба в GitHub abuse (форки часто заброшены — поддержки по очистке нет), 4) Ротация секретов (база данных, API-ключи, токены). Проактивная профилактика: 1) .gitignore (исключить секреты), 2) GitHub secret scanning + правила защиты (блокировка коммитов с секретами), 3) pre-commit hooks (локальное сканирование), 4) Начать с приватного репо, сделать публичным только после очистки от секретов. Оценка рисков: если старые секреты в форках не используются (ротированы), немедленный риск низкий (историческая ценность), но security posture выглядит плохо.
проверяй форки во вкладке network.. и если там старый секрет всё равно меняй парооль от базы. можно кинуть dmca notice на github но проверить приватные форки нельзя. включи secret scanning на github, будут алерты....
Отслеживание форков на GitHub: 1) REST API (curl https://api.github.com/repos/user/repo/forks → список всех форков, временная метка created_at), 2) Network graph (в интерфейсе GitHub показывает таймлайн форков + владельца), 3) GitGuardian (мониторит публичный GitHub, алерт на почту при обнаружении учетных данных), 4) Dependency Check (OWASP: сканирование репо на наличие известных секретов в зависимостях). Сканирование секретов: GitHub Advanced Security (Enterprise/Pro) сканирует автоматически, сторонний TokenScan (мониторит пуши в GitHub). Уведомления: DMCA notice (GitHub отправляет владельцу форка требование удалить), личное сообщение (низкая вероятность успеха). Риск: старый секрет в форке + утечка в форке = злоумышленник видит учетные данные, но если оригинал был ротирован, доступ будет отклонен (низкий немедленный риск).
Проверь форки они перечислены во вкладке network. Включи secret scanning на GitHub. Если ты уже ротировал пароль, форки не страшны. Можно кинуть DMCA notice на GitHub но связаться с владельцами форков сложно. В будущем не храни ничего чувствительного в публичных репо, и всё...
Лучшие практики безопасности GitHub: 1) Настройки репозитория (по умолчанию приватный, публичный только для зрелых проектов) 2) Обязательное сканирование на секретные данные (GitHub Advanced Security: блокировка push с секретами), 3) Защита веток (обязательное ревью + успешные проверки), 4) Журнал аудита (видно кто что запущил), 5) CODEOWNERS (назначение ревьюеров кода). Безопасность форков: форк наследует историю родителя + сканирование на секреты (если включено), но владелец форка независимо контролирует настройки. Прозрачность исправлений: публикация уведомления о безопасности (GitHub security advisory), публикация отчета об инциденте, документирование корневой причины + исправлений.
Именно так, и при этом об этом мало кто знает. Без измерений мы всегда приходим к одному и тому же.
Проверено опытом.
Здесь есть ловушка, не могу промолчать. Без измерений мы всегда приходим к одному и тому же.
Первые три месяца все идет хорошо, проблемы всплывают на четвертом. Исправьте, если я ошибаюсь.
Doki · Настройка управления логами · 2024
Если смотреть на процесс в целом, картина меняется. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.
Пишите, если есть вопросы, отвечу по мере возможности.
Здесь есть ловушка, не могу промолчать. Начните с небольшого эксперимента, не привязывайте всё сразу.
На этом всё, извините, если затянул.
Спасибо, что написали об этом, это действительно так. Автоматический отчет о сканировании и пентест — это не одно и то же.
Буду отстаивать обратное, не обижайтесь. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.
Вы правы, я сам проходил через это. Люди защищают не процесс, а привычку. честно сопротивление идет оттуда.
У меня будет вопрос, не хочу уходить от темы, но... Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.
Интересно, есть ли те, кто делает иначе.
Полностью согласен. Все, кто торопится с утечка на github, спотыкаются на одном и том же.
На этом всё, извините, если затянул.
Большое спасибо, сегодня попробую. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.
На этом всё, извините, если затянул.
Частично согласен, частично нет. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.
Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.