{"id":118226,"date":"2024-07-25T15:43:00","date_gmt":"2024-07-25T13:43:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki"},"modified":"2024-07-25T15:43:00","modified_gmt":"2024-07-25T13:43:02","slug":"dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/dostup-k-dannym-iz-udalyonnyh-i-privatnyh-repozitoriev-na-github-imeyushhih-forki","title":{"rendered":"Juurdep\u00e4\u00e4s andmetele kaug- ja erasektori GitHub'i hoidlatest, mis omavad forke","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ettev\u00f5te Truffle Security avaldas r\u00fcnnakuskeemid, mis p\u00f5hinevad mitmetel t\u00fc\u00fcpilistel GitHubi hoidlate kasutamise meetoditel, v\u00f5imaldades andmeid v\u00e4lja t\u00f5mmata eemalsetest hoidlatest, millel on avalikud fork'id v\u00f5i mis on loodud fork'idena. <\/p>\n
Kohandamine git-reposiitide forkide ja nende commitide hash'idele, on seotud sellega, et GitHub salvestab optsionalise koha hoidmise ja dubleeritud objektide v\u00e4ltimise huvides k\u00f5iki objekte peahoidlas ja forkides koos, eraldades ainult loogiliselt commitide kuuluvuse. Selline salvestamine v\u00f5imaldab vaadata peahoidlas mis tahes commit'i igalt forkilt, n\u00e4idates selle hash'i URL-is selgelt. N\u00e4iteks kasutaja v\u00f5ib luua fork'i reposiitist '\/torvalds\/linux' ja lisada sinna mis tahes koodi, p\u00e4rast mida see kood on saadaval otse hash-linkiga reposiitides '\/torvalds\/linux'. Kui reposiit eemaldatakse, j\u00e4\u00e4vad eemaldatud reposiitide andmed endiselt k\u00e4ttesaadavaks v\u00e4hemalt \u00fche avaliku forki kaudu, mis on seotud commit hash'iga. <\/p>\n
Pakutakse kolme stsenaariumi, mis esindavad turvaohu: <\/p>\n
\n
Esimene stsenaarium k\u00e4sitleb olukordi, kus arendajad loovad avalike hoidlate fork'e, lisavad neisse muudatusi, katsetavad ja seej\u00e4rel kustutavad. Peale koodi v\u00e4ljapaneku, mis ei olnud m\u00f5eldud avaldamiseks, kujutab ohtu olukord, kus katsetamise k\u00e4igus lisatakse n\u00e4idiskoodifailide koodidesse t\u00f6\u00f6tavad API juurdep\u00e4\u00e4suv\u00f5tmed. Sellisel juhul v\u00f5ib r\u00fcndaja saada juurdep\u00e4\u00e4su muudatusele commit'i h\u00e4sht'i kaudu, mis on suunatud p\u00e4rast fork'i kustutamist peamise hoidla kaudu. N\u00e4iteks suudavad teadlased pakutud viisi abil tuvastada 30 t\u00f6\u00f6tavat API juurdep\u00e4\u00e4suv\u00f5tit, uurides kolme masin\u00f5ppega seotud hoidlat, millel on suur hulk fork'e.\n
Teine stsenaarium k\u00e4sitleb juurdep\u00e4\u00e4su saamist andmetele p\u00e4rast p\u00f5hivaru kustutamist, kui sellel varul on loodud forke. N\u00e4iteks tuuakse v\u00e4lja juhtum, kus \u00fche ettev\u00f5tte avalikus varus avaldati kogemata t\u00f6\u00f6taja eravedrut, mis v\u00f5imaldas t\u00e4ieliku juurdep\u00e4\u00e4su sellele ettev\u00f5ttele kuuluvatele k\u00f5ikidele varudele GitHubis. Ettev\u00f5te kustutas lekkevaru, kuid v\u00f5tmed j\u00e4\u00e4vad endiselt k\u00e4ttesaadavaks commit-hash'i kaudu forkite varudes.
<\/center>\n
Kolmas stsenaarium on seotud projektide arendamise mudeliga, mis arendab p\u00f5hiversiooni avalikus varus ja laiendatud eraversiooni privaatsetes. Kui ettev\u00f5te algselt arendas projekti privaatsetes varudes ja seej\u00e4rel p\u00e4rast koodi avamist muutis selle avalikuks, j\u00e4tkates samal ajal sise- v\u00f5i laiendatud versiooni arendamist privaatsetes forkides, on v\u00f5imalik juurdep\u00e4\u00e4s privaatsete forkide muudatustele commit-hashide kaudu avaliku vara kaudu. Siiski on juurdep\u00e4\u00e4s v\u00f5imalik ainult nende muudatuste jaoks, mis on tehtud privaatsetes forkides enne, kui p\u00f5hivaru muudeti avalikuks (era- ja avalike varude hoidmine on eraldatud, kuid kuna kaks varu olid privaatset, hoiti commit-e koos, mist\u00f5ttu j\u00e4\u00e4vad need varusse p\u00e4rast selle muutmist avalikuks).
<\/center> <\/ul>\n
Trikk, mis v\u00f5imaldab juurdep\u00e4\u00e4su forkide commit'idele p\u00f5hivaru lingi kaudu, on juba aastaid tuntud ning seda kasutatakse perioodiliselt erinevate naljade ja arendajate eksitamiseks (n\u00e4iteks loovad naljakad inimesed sellisel viisil aeg-ajalt vale mulje Linuxi tuumareposiitoriumisse tagasivaatamiseks). Vastusena sellistele naljadele on GitHub lisanud hoiatuse, et k\u00fcsitud commit ei kuulu praegustele harudele ja v\u00f5ib olla seotud forki. Samuti on juurdep\u00e4\u00e4s commit'idele hash'i kaudu igasugustes seotud forkides peetud ohutuks, kuna juurdep\u00e4\u00e4sudel andmetele kaug- ja privaatsetes forkides on vajalik commit-hashi teadmine. <\/p>\n
Commit hash'i leidmine, mis on genereeritud SHA-1 algoritmi p\u00f5hjal ja sisaldab 32 simbolit, on reaalne \u00fclesanne, kuid selgus, et see pole vajalik. GitHub toetab l\u00fchendatud vormi commitide leidmiseks, mis v\u00f5imaldab suunata muudatusi m\u00f5nele esimesest hash'i symbolile, kui pole kattuvusi teiste commitidega. L\u00fchendatud hash'i adresseerimise minimaalne arv s\u00fcmboleid on 4, mis vastab vaid 65 tuhande kombinatsiooni (16^4) katsetamisele. Samuti v\u00f5ib katsetamine mitte olla vajalik, sest GitHub API v\u00f5imaldab integreerida t\u00f6\u00f6tlejaid s\u00fcndmuste kinnitamiseks, mis on seotud kolmandate osapoolte projektidega, mis hoiab t\u00e4ielikku k\u00f5iki operatsioone, mille hulgas info commit'i hash'ide kohta j\u00e4\u00e4b alles isegi p\u00e4rast reposiitide kustutamist. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Juurdep\u00e4\u00e4s](\"\/wp-content\/uploads\/2024\/07\/45381deb03eaa5be40baf8b4dbf7b481.png\")
<\/center>\n![\"Juurdep\u00e4\u00e4s](\"\/wp-content\/uploads\/2024\/07\/23342cf907bd300699e913297d29b310.png\")
<\/center> <\/ul>\n