Voordat jy 'n proxy-instelling in 'n openbare bewaarplek plaas
Skei 'n proxy-eindpunt van proxy-aanmeldgegewens en verduidelik waarom die publikasie van eersgenoemde nie toegangsbeheer bied nie.
'n Proxy-gasheername in 'n konfigurasielêer is nie dieselfde ding as 'n proxy-wagwoord nie. Om enigeen van die twee te publiseer verdien 'n doelbewuste besluit, maar die gevolge verskil.
'n Eindpunt vertel lesers waar 'n diens moontlik bereikbaar is. 'n URL soos http://name:[email protected]:8080 gee hulle ook bruikbare aanmeldgegewens. Dit moet nooit as onskadelik beskou word net omdat dit soos 'n adres lyk nie.
'n Versteekte adres is nie 'n toegangsbeleid nie
'n Privaat proxy het beheermaatreëls nodig wat by sy gebruikers pas: verifikasie, toegelate kliëntnetwerke en bestemmingsbeperkings. Om die adres uit 'n bewaarplek te hou vervang dit nie. 'n Diens wat publiek bereikbaar is, kan vindbaar wees sonder dat iemand jou konfigurasie lees.
Omgekeerd bewys die publikasie van 'n diensadres nie dat dit oop is nie. 'n Eindpunt kan steeds aanmeldgegewens vereis of slegs vanaf 'n beoogde netwerk bereikbaar wees. Hersien die werklike toegangsgrens eerder as om te aanvaar dat geheimhouding en verifikasie dieselfde ding beteken.
Vir deelbare voorbeelde, gebruik dokumentasie-gasheername en laat geheime weg. Hou private instellings in die gevestigde geheime- of plaaslike konfigurasie-meganisme vir die projek. Wees bedag op gegenereerde lêers en gekopieerde diagnostiese logs, wat 'n volledige URL met aanmeldgegewens kan bevat.
As aanmeldgegewens blootgestel is, verwyder eers hul nut deur hulle te herroep of te roteer. Om die nuutste lêer te wysig verwyder nie kopieë, vorige commits of gekasde inhoud nie. Die GitHub-riglyne oor sensitiewe data verduidelik waarom geskiedenisopruiming 'n aparte taak is.
'n Nuttige hersiening ondersoek beide kante: watter toegang die gepubliseerde inligting verleen, en of die proxy beperk bly selfs wanneer sy adres bekend is.