הציג תרומה - שירות תרומות באירוח עצמי למשימות

מאפיינים:

• נְשִׁיקָה;
• אירוח עצמי;
• ללא עמלות (לדוגמה, bountysource ו-gitcoin לוקחים 10% מהתשלום);
• תמיכה במטבעות קריפטוגרפיים רבים (כרגע ביטקוין, את'ריום וקארדנו);
• תמיכה עבור GitLab, Gitea ושירותי אירוח אחרים של Git צפויה (ותסופק) בעתיד.
• רשימה גלובלית של משימות מכל המופעים (כלומר, אחד, בזמן כתיבת החדשות). donate.dumpstack.io.

מנגנון העבודה עבור GitHub מהצד של בעל המאגר:

• (אופציונלי) אתה צריך לפרוס את השירות, אתה יכול להשתמש תצורה מוכנה עבור NixOS;
• צריך להוסיף פעולה של GitHub — נקרא בתוכו כלי שירות שסורק את משימות הפרויקט ומוסיף/מעדכן הערה לגבי המצב הנוכחי של ארנקי התרומה, בעוד שהחלק הפרטי של הארנקים מאוחסן רק בשרת התרומות (בעתיד, עם אפשרות לקחת אותו לא מקוון לתרומות גדולות, לאישור ידני של תשלום);
• בכל המשימות הנוכחיות (וחדשות) מופיעה הודעה github-actions[bot] עם כתובות ארנק לתרומות (דוגמה).

מנגנון העבודה של מי שמבצע את המשימה:

• ההערה ל-commit מציינת בדיוק איזו בעיה ה-commit הזה פותר (ראה. סגירת בעיות באמצעות מילות מפתח);
• גוף בקשת המשיכה מציין כתובות ארנק בפורמט מסוים (לדוגמה, BTC{address}).
• כאשר בקשת משיכה מתקבלת, התשלום מתבצע באופן אוטומטי.
• אם הארנקים לא מצוינים, או שלא כולם מצוינים, אז התשלום של הכספים עבור הארנקים הלא מוגדרים מתבצע לארנקי ברירת המחדל (לדוגמה, זה יכול להיות ארנק פרויקט כללי).

בטיחות:

• משטח ההתקפה הוא בדרך כלל קטן;
• בהתבסס על מנגנוני ההפעלה, השירות אמור להיות מסוגל לשלוח כספים באופן עצמאי, ולכן קבלת גישה לשרת משמעה שליטה על הכספים בכל מקרה - הפתרון יכול להיות רק עבודה במצב לא אוטומטי (למשל, אישור תשלומים באופן ידני), מה שסביר (אם הפרויקט יצליח מספיק כדי שמישהו יתרום עבור הפונקציונליות הזו, אז לא סביר, אבל בהחלט) שהוא ייושם מתישהו;
• חלקים קריטיים מופרדים בבירור (למעשה, זהו קובץ pay.go בודד של 200 שורות), ובכך מפשטים את סקירת קוד האבטחה;
• הקוד עבר סקירת קוד אבטחה עצמאית, מה שלא אומר היעדר נקודות תורפה, אלא מפחית את הסבירות להימצאותן, במיוחד לאור סדירות הביקורות המתוכננת;
• ישנם גם אותם חלקים שאינם נשלטים (לדוגמה, API GitHub/GitLab/וכו'), בעוד שפגיעויות אפשריות ב-API של צד שלישי מתוכננות להיסגר עם בדיקות נוספות, אולם, באופן כללי, הבעיה הנוכחית המערכת האקולוגית אינה ניתנת לפתרון ומחוץ לתחום (לפגיעות אפשרית עם, למשל, היכולת לסגור בקשות משיכה של אנשים אחרים ובכך להוסיף קוד לפרויקטים של אחרים - יש לה השלכות גלובליות הרבה יותר).

מקור: linux.org.ru