GitHub, commit'ler için push attribution özelliğini sınırlı public preview olarak sunuyor
GitHub, her commit'i push eden kimliği doğrulanmış kullanıcıyı kalıcı olarak kaydediyor ve bu pusher kimliğini UI ile API'de author ve committer alanlarının yanında gösteriyor. Yeni 'Committer must match pusher' depo kuralı, commit kimlik sahtekarlığı yolunu kapatıyor. Özellik şu anda GitHub Enterprise müşterileri için sınırlı public preview olarak sunuluyor.
Push attribution nedir?
GitHub artık her commit'i push eden kimliği doğrulanmış kullanıcıyı kalıcı olarak kaydediyor. Bu sürüm, author ve committer metadata'sının yanına commit başına kalıcı pusher atfı ekliyor. Böylece bir depoya push edilen her commit, author ve committer metadata'sının ne iddia ettiğinden bağımsız olarak kalıcı, kimliği doğrulanmış bir pusher kimliğine sahip oluyor.
GitHub, push eden kimliği UI ve API'de mevcut author ve committer alanlarının yanında gösteriyor. Pusher kimliği artık commit'lerin gösterildiği her yerde görünüyor.
Neden gerekli?
Commit author ve committer alanları yalnızca push eden istemcinin sağladığı stringlerdir. Bir depoya yazma erişimi olan herkes author ve committer alanlarını istediği ad ve e-posta ile ayarlayabilir.
Bu durum, düşük yetkili bir hesabı ele geçiren saldırganın güvenilir bir maintainer'dan geliyormuş gibi görünen commit'ler oluşturmasına olanak tanıyor. Bu tür sahte commit'ler inceleme politikalarını atlayabilir ve denetim izlerini karıştırabilir.
Yeni 'Committer must match pusher' kuralı
Yeni bir depo kuralı koşulu olan 'Committer must match pusher', committer metadata'sının kimliği doğrulanmış pusher'ın doğrulanmış e-posta adreslerinden hiçbiriyle eşleşmediği push'ları engelliyor. Bu kural, commit kimlik sahtekarlığı yolunu kapatıyor.
Bir depoda daha sıkı kimlik gereksinimleri uygulamak için yeni 'Committer must match pusher' kuralı bir ruleset'e eklenebilir.
Kullanılabilirlik ve önizleme
Push attribution şu anda GitHub Enterprise müşterileri için sınırlı bir public preview olarak sunuluyor. Önizlemeye katılmak isteyenler hesap ekibiyle iletişime geçip erişim talep etmelidir.
