Git Security, Signed Commits, Branch Protection και Repository Trust — DedSec Project
Git Security, Signed Commits, Branch Protection και Repository Trust Ελληνική έκδοση — Μάθημα 133. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά…
Ελληνική έκδοση — Μάθημα 133. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.
Το Git είναι μέρος του software supply chain. Μελέτησε signed commits/tags, branch protection, reviews, history rewriting, secrets και recovery.
Μαθησιακοί στόχοι
Στο τέλος πρέπει να μπορείς να:
- εξηγήσεις το Git object integrity and hashes και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το commit/tag signatures και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το branch protection and required reviews και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το CODEOWNERS-style approval concepts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το force pushes and history rewriting και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το secret exposure and rotation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
Βαθιές τεχνικές έννοιες
1. Git object integrity και hashes
Git συνδέει content-addressed objects και commit history με hashes. Η συνολική integrity εξαρτάται επίσης από trusted refs, hosting permissions, protected branches και identities που επιτρέπεται να αλλάζουν tags/branches.
2. commit και tag signatures
Signed commit/tag δείχνει ότι συγκεκριμένο key ενέκρινε history, αλλά χρειάζεται trusted key ownership/policy. Όρισε ποια events πρέπει να είναι signed και τι κάνει CI όταν verification αποτυγχάνει.
3. branch protection και reviews
Protected branches χρειάζονται required review/status checks, restricted force push και controlled merge path. Policy πρέπει να καλύπτει bots και admin bypasses με visible emergency override.
4. CODEOWNERS και approval paths
CODEOWNERS κατευθύνει changes σε σωστούς reviewers αλλά δεν είναι μόνο του authorization boundary. Προστάτευσε το ίδιο το ownership file και enforce approvals στο repository platform.
5. force pushes και history rewrite
History rewrite αλλάζει commits που μπορεί να χρησιμοποιούν collaborators/releases. Περιορίσε force push σε protected refs και κράτα server/audit evidence ώστε cleanup να ξεχωρίζει από απόπειρα απόκρυψης unauthorized change.
6. secret exposure και rotation
Διαγραφή secret από τελευταίο commit δεν ανακαλεί clones/caches/logs. Πρώτα revoke/rotate το credential, έλεγξε χρήση και μετά κάνε history cleanup μόνο αν απαιτείται.
7. submodules και dependency refs
Submodule/ref επεκτείνει trust σε άλλο repository/object. Pin reviewed immutable revisions και επιβεβαίωσε provenance ώστε untrusted location να μην αλλάζει privileged build input.
8. backup, mirroring και recovery
Repository recovery χρειάζεται mirrors/backups και protected release artifacts. Η αποκατάσταση πρέπει να διατηρεί evidence για unauthorized ref changes και να επαναφέρει known-good branches/tags.
Καθοδηγούμενο εργαστήριο
Εργαστήριο 1 — Δημιούργησε αναλώσιμο τοπικό αποθετήριο, υπέγραψε δοκιμαστικό tag αν διαθέτεις δοκιμαστικό κλειδί και τεκμηρίωσε τα αποτελέσματα επαλήθευσης.
Εργαστήριο 2 — Σχεδίασε κανόνες προστασίας κλάδου για κρίσιμη βιβλιοθήκη και για προσωπικό πείραμα.
Εργαστήριο 3 — Προσομοίωσε εισαγωγή ψεύτικου μυστικού και εξασκήσου σε ασφαλή καθαρισμό ιστορικού και στη λογική ανανέωσης ενός πραγματικά εκτεθειμένου μυστικού.
Πλήρες αγγλικό μάθημα
Επόμενα μαθήματα
Σχετικά modules: 022, 029, 040, 084, 097, 098, 109. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.