Πριν βάλετε μια ρύθμιση διαμεσολαβητή σε δημόσιο αποθετήριο
Διαχωρίστε ένα τελικό σημείο διαμεσολαβητή από τα διαπιστευτήρια διαμεσολαβητή και εξηγήστε γιατί η δημοσίευση του πρώτου δεν παρέχει έλεγχο πρόσβασης.
Ένα όνομα κεντρικού υπολογιστή διαμεσολαβητή σε αρχείο διαμόρφωσης δεν είναι το ίδιο με έναν κωδικό πρόσβασης διαμεσολαβητή. Η δημοσίευση οποιουδήποτε από τα δύο αξίζει συνειδητή απόφαση, αλλά οι συνέπειες είναι διαφορετικές.
Ένα τελικό σημείο λέει στους αναγνώστες πού μπορεί να είναι προσβάσιμη μια υπηρεσία. Ένα URL όπως το http://name:[email protected]:8080 τους δίνει επίσης χρησιμοποιήσιμα διαπιστευτήρια. Δεν πρέπει ποτέ να αντιμετωπίζεται ως ακίνδυνο μόνο και μόνο επειδή μοιάζει με διεύθυνση.
Μια κρυφή διεύθυνση δεν είναι πολιτική πρόσβασης
Ένας ιδιωτικός διαμεσολαβητής χρειάζεται ελέγχους κατάλληλους για τους χρήστες του: έλεγχο ταυτότητας, επιτρεπόμενα δίκτυα πελατών και περιορισμούς προορισμού. Το να κρατάτε τη διεύθυνση εκτός αποθετηρίου δεν τους αντικαθιστά. Μια δημόσια προσβάσιμη υπηρεσία μπορεί να ανακαλυφθεί χωρίς κανείς να διαβάσει τη διαμόρφωσή σας.
Αντιθέτως, η δημοσίευση της διεύθυνσης μιας υπηρεσίας δεν αποδεικνύει ότι είναι ανοιχτή. Ένα τελικό σημείο μπορεί ακόμη να απαιτεί διαπιστευτήρια ή να είναι προσβάσιμο μόνο από προβλεπόμενο δίκτυο. Εξετάστε το πραγματικό όριο πρόσβασης αντί να υποθέτετε ότι μυστικότητα και έλεγχος ταυτότητας σημαίνουν το ίδιο.
Για παραδείγματα προς κοινή χρήση, χρησιμοποιήστε ονόματα κεντρικών υπολογιστών τεκμηρίωσης και παραλείψτε μυστικά. Κρατήστε τις ιδιωτικές ρυθμίσεις στον καθιερωμένο μηχανισμό μυστικών ή τοπικής διαμόρφωσης του έργου. Να είστε προσεκτικοί με τα παραγόμενα αρχεία και τα αντιγραμμένα διαγνωστικά αρχεία καταγραφής, που μπορεί να περιέχουν πλήρες URL με διαπιστευτήρια.
Αν διαπιστευτήρια εκτέθηκαν, αφαιρέστε πρώτα τη χρησιμότητά τους ανακαλώντας ή περιστρέφοντάς τα. Η επεξεργασία του πιο πρόσφατου αρχείου δεν αφαιρεί αντίγραφα, προηγούμενα commits ή αποθηκευμένο περιεχόμενο. Οι οδηγίες του GitHub για ευαίσθητα δεδομένα εξηγούν γιατί ο καθαρισμός του ιστορικού είναι ξεχωριστή εργασία.
Μια χρήσιμη αναθεώρηση ελέγχει και τις δύο πλευρές: ποια πρόσβαση παρέχουν οι δημοσιευμένες πληροφορίες και αν ο διαμεσολαβητής παραμένει περιορισμένος ακόμη και όταν η διεύθυνσή του είναι γνωστή.