GitHub は、8,300 万人を超える開発者、400 万の組織、および 2 億を超えるコード リポジトリをホストする、世界で最も人気のあるソース管理システムの 1 つです。しかし、その汎用性と強みにもかかわらず、当初はコードの保護を念頭に置いて構築されたわけではありません。その主な目的は、自組織内もしくは他の組織との間における開発者間のコラボレーションと協力を促進することです。 つまり、自分のプロジェクトを確実にセキュアにできるのですが、 そのためには、自身が自覚することと、色々と作業をする必要があります。
GitHub でコードのセキュリティを評価する際に知っておくべきプラットフォーム機能がいくつかあります。
公開リポジトリ – 意図しないで、秘密情報(キー、機密や商用コードなど)を 公開レポジトリに置いてしまうことがあります。インターネット上の誰もがそのようなリポジトリを複製およびフォークできるため、AWS S3 で他の人をうっかりホストしてしまう可能性があることを覚えておく必要があります。そして、その費用を負担しなければならないのです。
保護されていないブランチ – GitHub には、選択した (通常はメインの) ブランチにさまざまな保護を追加できる機能があります。これらの保護は、署名付きコミットの強制から、直線的なコミット履歴の維持にまで及びます。これは、潜在的な攻撃に対するメイン ブランチの回復力を大幅に高める便利なツールです。
署名済みコミット – GitHubにおいて他人になりすますことは、驚くほど簡単です。必要なものは、電子メールとユーザー ハンドルだけです。これにより、コミットをリポジトリにプッシュするときに、誰にでもなりすますことができます。署名されたコミットには、ご存知のように、コミッターが検証されているかどうかを判断するのに役立つ電子署名が含まれています。つまり、表示されているものが本物であり、悪意を持ったコミットではないという確信を持ち、コミット履歴をたどることができます。
二要素認証 – 組織のすべてのメンバーに 2FA の使用を要求できます。これはアカウントを窃用し、それを使って組織内へ侵入することを防ぐために設計された有用なセキュリティ対策です。
SSH およびデプロイ キー – これらのタイプのキーは両方とも、GitHub アカウントへの接続を容易にするためにあります。残念ながら、あなたにとって簡単であるということは、サイバー犯罪者にとっても簡単であるということです。たとえば、キーのローテーションを忘れたり、他人と共有したりすることをやりがちです。これらのキーを使えば、アカウントへのほぼ自由にアクセスできるため、他の機密事項と同様に管理する必要があることに注意してください。
多すぎる管理者 – GitHub の管理者権限は、ほとんどすべてのアクセスの問題を処理する特効薬のようなものであると多くの人が考えています。問題は、チームのほとんどすべてのメンバーが管理者になってしまうことです。管理者はアカウントへのほぼ完全なアクセス権を持っており、通常は広範な (常に歓迎されるとは限りませんが) 変更を行うことができるため、管理者の選定は慎重に行わなければなりません。また、必要がなくなった場合は、必ず管理者権限を取り消してください。
大事なことは、GitHub 上のコードをセキュアにするためには、自分で対応しなければならないということです。プラットフォームがあなたに代わってそれを行うわけではありません。リポジトリを保護するために必要な手順を決定する前に、GitHub のドキュメントを読むことに時間と労力を費やしてください。
Barak Brudo、 ScribeのDeveloper Advocateによる寄稿。
