forum.opennet.ru - "GitHub обновил PGP-ключи из-за уязвимости, приводящей к утечке переменных окружения" (17)

"GitHub обновил PGP-ключи из-за уязвимости, приводящей к утечке переменных окружения"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"GitHub обновил PGP-ключи из-за уязвимости, приводящей к утечке переменных окружения"	+/–
Сообщение от opennews (?), 17-Янв-24, 13:56
GitHub раскрыл сведения об уязвимости, позволяющей получить доступ к содержимому переменных окружений, выставленных в контейнерах, применяемых в рабочей инфраструктуре. Уязвимость была выявлена участником программы Bug Bounty, претендующим на получение вознаграждения за поиск проблем с безопасностью. Проблема затрагивает как сервис GitHub.com, так и конфигурации GitHub Enterprise Server (GHES), выполняемые на системах пользователей... Подробнее: https://www.opennet.me/opennews/art.shtml?num=60448
Ответить \| Правка \| Cообщить модератору

Оглавление

Что опять руби виноват , Аноним (5), 14:09 , 17-Янв-24, (5) +3

Все равно что предъявить вину молотка криворукому плотнику Язык это всего лишь , Аноним (28), 00:25 , 18-Янв-24, (28)

Топор с надпиленным топорищем - тоже, вроде бы, топор, Бывалый смузихлёб (?), 11:17 , 18-Янв-24, (30)

Если ключ не скомпромитирован, то нафига его отзывать, нарушая функционирование , Аноним (6), 14:27 , 17-Янв-24, (6) –3

На всякий случай перестраховались Чтобы потом не влияло, если активность позже , Denis Fateyev (ok), 17:55 , 17-Янв-24, (12)

Ну это не верно в корне Без этой обвязки гит это смешное скопление костылей нико, Аноньимъ (ok), 18:28 , 17-Янв-24, (14) –2

Чего же все меркуриалом не пользуются он же во всем лучше , Аноним (5), 19:40 , 17-Янв-24, (17)

Ну вот bitbucket поменял меркуриал на git - что, все пользователи разбежались П, User (??), 20:43 , 17-Янв-24, (20) +1

Обвязка дополняет git, и вообще опциональна Она красивая, удобная и прочее 82, Denis Fateyev (ok), 20:47 , 17-Янв-24, (22)

Отозванный ключ - это ключ, которым сам GitHub подписывал коммиты, когда они был, Аноним (18), 19:51 , 17-Янв-24, (18)

Начать с того, что такие ключи, сгенерированные самой платформой 8212 лишь ог, Denis Fateyev (ok), 21:26 , 17-Янв-24, (23)

Ты думаешь что тут есть часть инфлрмации правдивой Мнда как все пичально, scriptkiddis (?), 20:18 , 17-Янв-24, (19)

PGP или GPG , Аноним (9), 16:16 , 17-Янв-24, (9)
Пора вводить шестифакторную авторизацию , Аноним (13), 18:12 , 17-Янв-24, (13) +2
Я один подумал, что ущербна сама идея централизованного храниния секретных ключе, Аноним (24), 23:23 , 17-Янв-24, (24)

Ущербны любые децентрализованные системы, а централизация и строгая вертикаль - , Аноним (28), 00:23 , 18-Янв-24, (27)

Скрыто модератором, Аноним (-), 06:51 , 18-Янв-24, (29)

Сообщения [Сортировка по ответам | RSS]

5. Сообщение от Аноним (5), 17-Янв-24, 14:09 +3 +/–

Что опять руби виноват?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28

6. Сообщение от Аноним (6), 17-Янв-24, 14:27 –3 +/–

>Начиная с 23 января все новые коммиты, подписанные прошлым ключом, не будут помечены на сайте GitHub как верифицированные.
>Замена внутренних ключей привела к нарушению работы некоторых сервисов с 27 по 29 декабря.
Если ключ не скомпромитирован, то нафига его отзывать, нарушая функционирование. Если скомпромитирован, то почему такой поздней датой? Почему вообще подтверждённость выполненности коммита в веб-интерфейсе GitHub определяется подписью на коммите, а не наличием хэша коммита в множестве, хранимом на сервере GitHub и доступном для скачивания?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

9. Сообщение от Аноним (9), 17-Янв-24, 16:16 +/–

PGP или GPG?

Ответить | Правка | Наверх | Cообщить модератору

12. Сообщение от Denis Fateyev (ok), 17-Янв-24, 17:55 +/–

> Если ключ не скомпромитирован, то нафига его отзывать, нарушая функционирование.
На всякий случай перестраховались? Чтобы потом не влияло, если активность позже всё-таки обнаружат (к тому времени, ключ будет отозван). Либо, в анонсе нам дали не всю информации. В целом, спорный момент.
> Почему вообще подтверждённость выполненности коммита в веб-интерфейсе GitHub определяется подписью на коммите, а не наличием хэша коммита в множестве, хранимом на сервере GitHub и доступном для скачивания?
Первичная сущность здесь git, а веб-инструменты только обвязка над ним. «Подтвержденность выполненности коммита» не определяется подписью в коммите (подписи может и не быть). Отдельно какую-то несовместимую с git-ом историю хэшей хранить нет смысла, если весь нужный функционал можно сделать средствами самого git.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #14, #18, #19

13. Сообщение от Аноним (13), 17-Янв-24, 18:12 +2 +/–

Пора вводить шестифакторную авторизацию.

Ответить | Правка | Наверх | Cообщить модератору

14. Сообщение от Аноньимъ (ok), 17-Янв-24, 18:28 –2 +/–

> Первичная сущность здесь git, а веб-инструменты только обвязка над ним.
Ну это не верно в корне.
Без этой обвязки гит это смешное скопление костылей никому кроме "кернел девелоперс" рассылающих патчи емейлами ненужное.
В то-же время, поменяй гитхаб гиб на нечто иное, даже не очень совместимое - ничего не измениться, особо упоротые "громкие голоса" поноют и схавают, а энтерпрайзу вообще пофиг, лишь бы была двухкнопочная миграция.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #17, #22

17. Сообщение от Аноним (5), 17-Янв-24, 19:40 +/–

Чего же все меркуриалом не пользуются он же во всем лучше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #20

18. Сообщение от Аноним (18), 17-Янв-24, 19:51 +/–

>Первичная сущность здесь git, а веб-инструменты только обвязка над ним. «Подтвержденность выполненности коммита» не определяется подписью в коммите (подписи может и не быть).
Отозванный ключ - это ключ, которым сам GitHub подписывал коммиты, когда они были сделаны в его веб-интерфейсе, как-бы подтверждая, что его сделал тот аккаунт, который написан в авторах коммита. Так можно было проверить историю локально: скачать ключ, и проверить. Но история связана цепочкой хэшей, и хэшируется в том числе подпись. Ключ был скомпрометирован - все подписи стали невалидными. А ведь кто-то мог на эту проверку полагаться в своих workflowах... А теперь полагаться не могут. Даже сам гитхаб не может. Если бы они просто насохраняли хэши тех коммитов, то не было бы проблемы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #23

19. Сообщение от scriptkiddis (?), 17-Янв-24, 20:18 +/–

>Либо, в анонсе нам дали не всю информации.
Ты думаешь что тут есть часть инфлрмации правдивой. Мнда... как все пичально

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

20. Сообщение от User (??), 17-Янв-24, 20:43 +1 +/–

Ну вот bitbucket поменял меркуриал на git - что, все пользователи разбежались? Проделает такой же кунштюк github - так же ничего не изменится. ВоЙены будут воевать, борцуны - бороцца, а индус-триальные погроммизды - погроммиздить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

22. Сообщение от Denis Fateyev (ok), 17-Янв-24, 20:47 +/–

> Без этой обвязки гит это смешное скопление костылей никому кроме "кернел девелоперс" рассылающих патчи емейлами ненужное.
Обвязка дополняет git, и вообще опциональна. Она красивая, удобная и прочее — но быстро потеряет популярность, если убрать git.
Думаю, практически проверять GitHub это не будет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

23. Сообщение от Denis Fateyev (ok), 17-Янв-24, 21:26 +/–

Начать с того, что такие ключи, сгенерированные самой платформой — лишь ограниченно полезны. Они не определяют автора коммита, а определяют пользователя сервиса (доверие в рамках одной платформы). Если человек идёт на другую платформу, то там ему генерируют другой ключ — кроссплатформенного доверия здесь нет, и вопросы по критичным воркфлоу и проверкам должны начинаться уже здесь.
Хранить хэши коммитов отдельно не нужно: есть дата в коммите и дата отзыва ключа — всё, что позже, по воркфлоу декларируется невалидным. Понятно, что это неудобно и требует телодвижений. Но когда платформа произвольно генерирует ключи — то стоит ожидать, что и отзывает их она по своему усмотрению. Если нужно контролируемый воркфлоу — то ключ создаётся на своей стороне и используется при коммитах, в платформы вгружается публичная часть. Его можно отзывать контролируемо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

24. Сообщение от Аноним (24), 17-Янв-24, 23:23 +/–

Я один подумал, что ущербна сама идея централизованного храниния секретных ключей на GitHub?
Ведь именно по этой причине появилась эта уязвимость...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

27. Сообщение от Аноним (28), 18-Янв-24, 00:23 +/–

Ущербны любые децентрализованные системы, а централизация и строгая вертикаль - путь к порядку и стабильности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #29

28. Сообщение от Аноним (28), 18-Янв-24, 00:25 +/–

Все равно что предъявить вину молотка криворукому плотнику. Язык это всего лишь инструмент.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #30

29. Сообщение от Аноним (-), 18-Янв-24, 06:51 +/–

Следить за людьми тредно да?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

30. Сообщение от Бывалый смузихлёб (?), 18-Янв-24, 11:17 +/–

Топор с надпиленным топорищем - тоже, вроде бы, топор

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

5. Сообщение от Аноним (5), 17-Янв-24, 14:09	+3 +/–
Что опять руби виноват?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #28

6. Сообщение от Аноним (6), 17-Янв-24, 14:27	–3 +/–
>Начиная с 23 января все новые коммиты, подписанные прошлым ключом, не будут помечены на сайте GitHub как верифицированные. >Замена внутренних ключей привела к нарушению работы некоторых сервисов с 27 по 29 декабря. Если ключ не скомпромитирован, то нафига его отзывать, нарушая функционирование. Если скомпромитирован, то почему такой поздней датой? Почему вообще подтверждённость выполненности коммита в веб-интерфейсе GitHub определяется подписью на коммите, а не наличием хэша коммита в множестве, хранимом на сервере GitHub и доступном для скачивания?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12

9. Сообщение от Аноним (9), 17-Янв-24, 16:16	+/–
PGP или GPG?
Ответить \| Правка \| Наверх \| Cообщить модератору

12. Сообщение от Denis Fateyev (ok), 17-Янв-24, 17:55	+/–
> Если ключ не скомпромитирован, то нафига его отзывать, нарушая функционирование. На всякий случай перестраховались? Чтобы потом не влияло, если активность позже всё-таки обнаружат (к тому времени, ключ будет отозван). Либо, в анонсе нам дали не всю информации. В целом, спорный момент. > Почему вообще подтверждённость выполненности коммита в веб-интерфейсе GitHub определяется подписью на коммите, а не наличием хэша коммита в множестве, хранимом на сервере GitHub и доступном для скачивания? Первичная сущность здесь git, а веб-инструменты только обвязка над ним. «Подтвержденность выполненности коммита» не определяется подписью в коммите (подписи может и не быть). Отдельно какую-то несовместимую с git-ом историю хэшей хранить нет смысла, если весь нужный функционал можно сделать средствами самого git.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #14, #18, #19

13. Сообщение от Аноним (13), 17-Янв-24, 18:12	+2 +/–
Пора вводить шестифакторную авторизацию.
Ответить \| Правка \| Наверх \| Cообщить модератору

14. Сообщение от Аноньимъ (ok), 17-Янв-24, 18:28	–2 +/–
> Первичная сущность здесь git, а веб-инструменты только обвязка над ним. Ну это не верно в корне. Без этой обвязки гит это смешное скопление костылей никому кроме "кернел девелоперс" рассылающих патчи емейлами ненужное. В то-же время, поменяй гитхаб гиб на нечто иное, даже не очень совместимое - ничего не измениться, особо упоротые "громкие голоса" поноют и схавают, а энтерпрайзу вообще пофиг, лишь бы была двухкнопочная миграция.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #17, #22

17. Сообщение от Аноним (5), 17-Янв-24, 19:40	+/–
Чего же все меркуриалом не пользуются он же во всем лучше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #20

18. Сообщение от Аноним (18), 17-Янв-24, 19:51	+/–
>Первичная сущность здесь git, а веб-инструменты только обвязка над ним. «Подтвержденность выполненности коммита» не определяется подписью в коммите (подписи может и не быть). Отозванный ключ - это ключ, которым сам GitHub подписывал коммиты, когда они были сделаны в его веб-интерфейсе, как-бы подтверждая, что его сделал тот аккаунт, который написан в авторах коммита. Так можно было проверить историю локально: скачать ключ, и проверить. Но история связана цепочкой хэшей, и хэшируется в том числе подпись. Ключ был скомпрометирован - все подписи стали невалидными. А ведь кто-то мог на эту проверку полагаться в своих workflowах... А теперь полагаться не могут. Даже сам гитхаб не может. Если бы они просто насохраняли хэши тех коммитов, то не было бы проблемы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #23

19. Сообщение от scriptkiddis (?), 17-Янв-24, 20:18	+/–
>Либо, в анонсе нам дали не всю информации. Ты думаешь что тут есть часть инфлрмации правдивой. Мнда... как все пичально
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

20. Сообщение от User (??), 17-Янв-24, 20:43	+1 +/–
Ну вот bitbucket поменял меркуриал на git - что, все пользователи разбежались? Проделает такой же кунштюк github - так же ничего не изменится. ВоЙены будут воевать, борцуны - бороцца, а индус-триальные погроммизды - погроммиздить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17

22. Сообщение от Denis Fateyev (ok), 17-Янв-24, 20:47	+/–
> Без этой обвязки гит это смешное скопление костылей никому кроме "кернел девелоперс" рассылающих патчи емейлами ненужное. Обвязка дополняет git, и вообще опциональна. Она красивая, удобная и прочее — но быстро потеряет популярность, если убрать git. Думаю, практически проверять GitHub это не будет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14

23. Сообщение от Denis Fateyev (ok), 17-Янв-24, 21:26	+/–
Начать с того, что такие ключи, сгенерированные самой платформой — лишь ограниченно полезны. Они не определяют автора коммита, а определяют пользователя сервиса (доверие в рамках одной платформы). Если человек идёт на другую платформу, то там ему генерируют другой ключ — кроссплатформенного доверия здесь нет, и вопросы по критичным воркфлоу и проверкам должны начинаться уже здесь. Хранить хэши коммитов отдельно не нужно: есть дата в коммите и дата отзыва ключа — всё, что позже, по воркфлоу декларируется невалидным. Понятно, что это неудобно и требует телодвижений. Но когда платформа произвольно генерирует ключи — то стоит ожидать, что и отзывает их она по своему усмотрению. Если нужно контролируемый воркфлоу — то ключ создаётся на своей стороне и используется при коммитах, в платформы вгружается публичная часть. Его можно отзывать контролируемо.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18

24. Сообщение от Аноним (24), 17-Янв-24, 23:23	+/–
Я один подумал, что ущербна сама идея централизованного храниния секретных ключей на GitHub? Ведь именно по этой причине появилась эта уязвимость...
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27

27. Сообщение от Аноним (28), 18-Янв-24, 00:23	+/–
Ущербны любые децентрализованные системы, а централизация и строгая вертикаль - путь к порядку и стабильности.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #29

28. Сообщение от Аноним (28), 18-Янв-24, 00:25	+/–
Все равно что предъявить вину молотка криворукому плотнику. Язык это всего лишь инструмент.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #30

29. Сообщение от Аноним (-), 18-Янв-24, 06:51	+/–
Следить за людьми тредно да?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27

30. Сообщение от Бывалый смузихлёб (?), 18-Янв-24, 11:17	+/–
Топор с надпиленным топорищем - тоже, вроде бы, топор
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28