Før du legger en proxyinnstilling i et offentlig depot
Skille et proxy-endepunkt fra proxy-legitimasjon og forklar hvorfor publisering av det førstnevnte ikke gir tilgangskontroll.
Et proxy-vertsnavn i en konfigurasjonsfil er ikke det samme som et proxy-passord. Å publisere hvilken som helst av dem fortjener en bevisst beslutning, men konsekvensene er forskjellige.
Et endepunkt forteller leserne hvor en tjeneste kan være tilgjengelig. En URL som http://name:[email protected]:8080 gir dem også brukbar legitimasjon. Den bør aldri behandles som ufarlig bare fordi den ser ut som en adresse.
En skjult adresse er ikke en tilgangspolicy
En privat proxy trenger kontroller som passer til brukerne: autentisering, tillatte klientnettverk og destinasjonsbegrensninger. Å holde adressen utenfor et depot erstatter dem ikke. En offentlig tilgjengelig tjeneste kan være oppdagbar uten at noen leser konfigurasjonen din.
Omvendt beviser ikke publisering av en tjenesteadresse at den er åpen. Et endepunkt kan fortsatt kreve legitimasjon eller være tilgjengelig bare fra et tiltenkt nettverk. Gå gjennom den faktiske tilgangsgrensen i stedet for å anta at hemmelighold og autentisering betyr det samme.
For delbare eksempler, bruk dokumentasjons-vertsnavn og utelat hemmeligheter. Oppbevar private innstillinger i prosjektets etablerte mekanisme for hemmeligheter eller lokal konfigurasjon. Vær oppmerksom på genererte filer og kopierte diagnostikklokker, som kan inneholde en fullstendig URL med legitimasjon.
Hvis legitimasjon er blitt eksponert, fjern først nytten av den ved å tilbakekalle eller rotere den. Å redigere den nyeste filen fjerner ikke kopier, tidligere commits eller bufret innhold. GitHubs veiledning for sensitive data forklarer hvorfor opprydding av historikk er en egen oppgave.
En nyttig gjennomgang kontrollerer begge sider: hvilken tilgang de publiserte opplysningene gir, og om proxyen forblir begrenset selv når adressen er kjent.