Bất Kỳ Ai Cũng Có Thể Commit Code Thay Bạn Trên GitHub (Đây Là Cách Ngăn Chặn)

Tôi đã ký các commit Git từ năm 2020, và đó là một trong những thực hành bảo mật có vẻ tùy chọn cho đến khi bạn nhận ra việc người khác mạo danh bạn dễ dàng thế nào.
GitHub commit signing sử dụngGPG (GNU Privacy Guard)để chứng minh bằng mật mã rằng bạn, và chỉ bạn, đã thực hiện commit.

Bất kỳ ai cũng có thể đặt cấu hình git của họ để sử dụng tên và email của bạn, đẩy commit lên, và chúng sẽ xuất hiện trên GitHub như thể bạn đã viết chúng.
Thật đấy.
Điểm khác biệt duy nhất?
Sẽ không có huy hiệu “Đã xác minh”.

GPG là gì?

GPG (GNU Privacy Guard) là một triển khai mã nguồn mở của tiêu chuẩn OpenPGP để mã hóa và ký dữ liệu.
Mặc dù nó thường được sử dụng để mã hóa email và tệp tin, nó cũng hoàn hảo để ký các commit Git.
Khi bạn ký một commit bằng GPG, bạn đang tạo ra một chữ ký mật mã chứng minh rằng commit đến từ người có quyền truy cập vào khóa riêng tư của bạn, không chỉ là ai đó biết tên và địa chỉ email của bạn.

Nếu bạn muốn tìm hiểu sâu hơn về tiêu chuẩn OpenPGP, hãy xemđặc tả OpenPGP chính thức.

Tại sao nên ký commit của bạn?

Ví dụ mạo danh trong thực tế

Mạo danh commit không chỉ là lý thuyết.
Dưới đây là một số tình huống mà nó thực sự quan trọng:

• Đóng góp mã nguồn mở:
  Ai đó có thể gửi một commit độc hại sử dụng danh tính của người bảo trì chính, làm cho nó trông giống như mã đáng tin cậy
• Môi trường làm việc:
  Kẻ tấn công có quyền truy cập kho lưu trữ có thể commit code dưới danh tính của bạn, có thể khiến bạn bị đổ lỗi cho lỗi hoặc vấn đề bảo mật
• Dấu vết kiểm tra:
  Trong các ngành công nghiệp được quy định, khả năng chứng minh bằng mật mã ai đã commit code nào có thể rất quan trọng cho việc tuân thủ
• Tấn công chuỗi cung ứng:
  Kẻ tấn công đã mạo danh nhà phát triển để tiêm mã độc vào các thư viện được sử dụng rộng rãi, ảnh hưởng đến hàng ngàn dự án hạ nguồn

Huy hiệu “Đã xác minh” không chỉ để trang trí.
Nó là bằng chứng cho thấy commit thực sự đến từ chủ sở hữu khóa, không phải chỉ là ai đó đang giả mạo họ.

Có ai thực sự quan tâm không?

Thành thật mà nói?
Hầu hết các nhà phát triển không kiểm tra huy hiệu xác minh trên mọi commit.

Nhưngcác hệ thống thì có quan tâm.
Các tổ chức có thể yêu cầu commit đã ký thông quaquy tắc bảo vệ nhánh.
Các ngành công nghiệp được quy định cần chúng để tuân thủ.
Các công cụ bảo mật gắn cờ các kho lưu trữ không có chúng.
Và khi các cuộc tấn công chuỗi cung ứng xảy ra, commit đã ký là cách duy nhất để chứng minh cái gì là hợp pháp.

Điều này giống như HTTPS 10 năm trước.
Tùy chọn, cho đến khi nó không còn là tùy chọn nữa.

Bạn không thiết lập điều này cho hôm nay.
Bạn đang thiết lập nó cho khi nó quan trọng.

Hướng dẫn này dành cho macOS

Hướng dẫn này tập trung vào macOS sử dụng GPG Keychain, một phần của GPG Suite, cung cấp giao diện GUI đẹp để quản lý khóa.
Nếu bạn đang dùng Linux hoặc Windows, các khái niệm là giống nhau, nhưng bạn sẽ sử dụng các công cụ khác:

• Linux:
  Sử dụng công cụ dòng lệnhgpg(thường được cài đặt sẵn)
• Windows:
  Hãy thửGpg4winhoặc cách của Linux nếu sử dụngWindows Subsystem for Linux(WSL).

Các bước cấu hình git là giống nhau trên tất cả các nền tảng.
Giả định rằng bạn có một tài khoản GitHub và khoảng 15 phút.

Bước 1:
Cài đặt Công cụ GPG

Hãy truy cậpgpgtools.orgvà tải xuống GPG Suite.
Nó bao gồm GPG Keychain, cung cấp cho bạn giao diện trực quan để quản lý khóa của bạn thay vì vật lộn với các công cụ dòng lệnh.

Cài đặt nó như bất kỳ ứng dụng Mac nào khác.

Bước 2:
Tạo Khóa GPG của Bạn

Mở GPG Keychain và nhấp vào “New” để tạo một cặp khóa.

Điền vào:

• Tên:
  Tên thật của bạn (nên khớp với tài khoản GitHub của bạn)
• Email:
  Email liên kết với tài khoản GitHub của bạn
• Cụm mật khẩu:
  Chọn một cụm mật khẩu mạnh.
  Bạn sẽ cần cái này mỗi lần ký một commit

Cài đặt quan trọng:

• Tôi đặt khóa của mình hết hạn sau 1 năm.
  Đây là một thực hành bảo mật tốt.
  Nếu khóa của bạn bị xâm phạm, nó cuối cùng sẽ trở nên vô dụng.
  Bạn luôn có thể gia hạn ngày hết hạn khi nó gần đến.
• Đảm bảo loại khóa là RSA và ít nhất 4096 bit để có bảo mật tốt.

Nhấp vào “Generate key” và đợi vài giây.

⚠️ Sao lưu Khóa Riêng tư của Bạn

Cụm mật khẩu của bạn bảo vệ khóa riêng tư của bạn, nhưng nó không phải là một bản sao lưu.
Nếu bạn mất chính tệp khóa riêng tư (chẳng hạn như trong quá trình sự cố máy tính hoặc cài đặt lại), ngay cả việc biết cụm mật khẩu của bạn cũng không giúp ích gì.
Không có tệp khóa riêng tư, bạn không thể ký các commit mới ngay cả khi bạn nhớ cụm mật khẩu.

Tùy chọn sao lưu tốt:

-----BEGIN PGP PUBLIC KEY BLOCK----- [bunch of random-looking characters] -----END PGP PUBLIC KEY BLOCK----- 

gpg --list-secret-keys--keyid-format=long 

sec rsa4096/ABC123DEF456 2022-01-15 [SC] [expires: 2026-01-15] 

# Tell git which key to use (replace with your actual key ID) git config --global user.signingkey ABC123DEF456 # Tell git to sign all commits by default git config --global commit.gpgsign true# Tell git where GPG is located (for macOS) git config --global gpg.program /usr/local/bin/gpg 

git config --global--list | grepgpg git config --global--list | grepsigningkey 

commit.gpgsign=true user.signingkey=ABC123DEF456 gpg.program=/usr/local/bin/gpg 

git commit --allow-empty-m"Testing GPG signing" git log --show-signature-1

gpg --list-secret-keys