GitHub

GitHubを信頼しすぎ 私が様々な話を耳にして思うことは、GitHubを信頼しすぎではと GitHubは信頼できない 結論から言うと、「GitHubは信頼できない」 GitHubは開発要員全員がアクセス可能な場所である そして、各要員が持つサプライチェーン攻撃に脆弱な開発環境からもアクセスできる場所でもある そんな場所なのだから、穴だらけなのである GitHubアカウントは剥奪される 開発要員全員がセキュリティ意識が高く適切にアカウントを管理できる能力があるとは限らない もしかしたら開発要員の一人がフィッシング詐欺に引っかかり詐欺サイトに認証情報を渡してしまうかもしれない 他にも、サプライチェーン攻撃により開発環境が汚染され、認証情報の窃取や不正な操作等が行われるかもしれない 特に後者は最近のサプライチェーン攻撃の増加の情勢を踏まえると、防ぐことは非常に困難である 攻撃者にとっては、穴だらけの場所に重要な情報が詰め込まれてるという非常に「ウマい話」であり、ゆえに格好の的なのである 「GitHubアカウントが奪取されることが問題」ではない 前述の通り、「GitHubアカウントは剥奪される」ものである 「GitHubアカウントが奪取されることが問題」なんていうのは全くもって意味のわからないことである GitHubアカウントが奪取される前提で運用していないことが問題 「GitHubアカウントが奪取されることが問題」ではなく、「GitHubアカウントが奪取される前提で運用していないことが問題」と言いたい 個人情報や絶対にバレてはいけない情報(例えばコカ・コーラのレシピなど)をリポジトリ内に置いてはいけない アクセストークンなどの認証情報をソースコード内に置いてはいけない(ただし、アクセス権限制限やアクセス元制限などがしっかりと設定されておりかつ不正アクセスによる被害が小さいと判断する場合には例外的に置いても良いだろう) 無承認でProductionにデプロイできる運用をしてはいけない