วิธีใช้คีย์ SSH และ 1 รหัสผ่านเพื่อลงนาม Git Commits

1Password ทำให้ผู้ใช้ GitHub ตั้งค่าคอมมิตที่เซ็นชื่อได้ง่ายขึ้น ปุ่ม SSH. การกระทำที่ลงนามยืนยันว่าบุคคลที่ทำการเปลี่ยนแปลงรหัสคือใครที่พวกเขาบอกว่าเป็น

เมื่อโค้ดถูกตรวจสอบในที่เก็บ git โดยปกติแล้วการเปลี่ยนแปลงจะถูกบันทึกด้วยชื่อของผู้ส่งโค้ด แม้ว่าไคลเอนต์ของผู้ใช้จะกำหนดชื่อของผู้ส่ง แต่สามารถเปลี่ยนเป็นชื่ออื่นได้อย่างง่ายดาย ซึ่งทำให้ผู้อื่นสามารถปลอมแปลงข้อความและชื่อในการส่งได้ สิ่งนี้อาจมีผลกระทบด้านความปลอดภัยหากนักพัฒนาไม่ทราบจริง ๆ ว่าใครเป็นผู้ส่งโค้ดบางชิ้น

จอห์น บัมเบเนก นักล่าภัยคุกคามหลักของ Netenrich กล่าวว่าปัญหาพื้นฐานที่แก้ไม่ตกซึ่งเป็นรากฐานของปัญหาความปลอดภัยทางไซเบอร์ทั้งหมดบนอินเทอร์เน็ตคือการขาดเครื่องมือที่ดีในการตรวจสอบตัวตนของมนุษย์ที่มีชีวิตอย่างแท้จริง การเซ็นชื่อแบบเข้ารหัสหรือการกระทำที่ลงนามนั้นง่ายช่วยให้องค์กรมีระดับความเชื่อมั่นที่สูงขึ้นเกี่ยวกับตัวตนของบุคคลนั้น

“หากไม่มีสิ่งนี้ คุณจะวางใจได้ว่าผู้กระทำคือคนที่พวกเขาบอกว่าเป็น และผู้ที่ยอมรับการกระทำจะเข้าใจและทบทวนการกระทำสำหรับปัญหา” เขากล่าวเสริม

แบมเบเน็กตั้งข้อสังเกตว่า เนื่องจากอาชญากรกำลังไล่ตามโค้ดในไลบรารีโอเพ่นซอร์สอย่างจริงจัง ความสามารถในการตรวจสอบตัวตนของผู้ที่ใช้โค้ดอย่างแท้จริงหมายความว่าหน้าต่างที่จะใช้ที่เก็บของพวกเขาเพื่อประนีประนอมองค์กรอื่นนั้นมีขนาดเล็กกว่ามาก

การจัดการคีย์ที่ปรับขนาดได้ง่ายขึ้น

Michael Skelton ผู้อำนวยการอาวุโสฝ่ายปฏิบัติการด้านความปลอดภัยของ Bugcrowd ชี้ให้เห็นว่าการจัดการคีย์ SSH และ GPG สำหรับการเซ็นชื่อกระทำบนเครื่องเสมือนและเครื่องโฮสต์ของนักพัฒนาหลายเครื่องอาจเป็นกระบวนการที่ยุ่งยากและสับสน ก่อนหน้านี้ นักพัฒนาซอฟต์แวร์ที่สนใจลงนามคอมมิตที่จัดการด้วยคู่คีย์จะจัดเก็บไว้ในบัญชี GitHub และในเครื่องของตนเอง

“สิ่งนี้อาจทำให้การนำคอมมิตที่ลงนามไปใช้เป็นจำนวนมากทำได้ยาก และทำให้องค์กรของคุณไม่สามารถใช้ประโยชน์สูงสุดจากคุณสมบัตินี้ได้” เขากล่าว “การให้ 1Password จัดการสิ่งนี้แทนคุณ คุณสามารถใช้คีย์เหล่านี้ได้ง่ายขึ้นและอัปเดตการกำหนดค่าโดยไม่ยุ่งยาก”

เนื่องจาก 1Password เก็บคีย์ SSH ไว้ การจัดการคีย์บนอุปกรณ์หลายเครื่องจึงง่ายขึ้นและสับสนน้อยลง คุณสมบัตินี้ยังทำให้สามารถจัดการคีย์การเซ็นชื่อ GitHub สำหรับนักพัฒนาในรูปแบบที่ปรับขนาดได้มากขึ้น Skelton กล่าว

“ด้วยการแก้ปัญหานี้ องค์กรต่างๆ สามารถมองหาการบังคับใช้คอมมิตที่ลงนามบนที่เก็บข้อมูลของตนได้โดยใช้โหมดเฝ้าระวังของ GitHub ซึ่งช่วยจำกัดความสามารถในการแสดงชื่อคอมมิตที่ผิดและตีความหมายผิด” Skelton กล่าว

ด้วยการเซ็นชื่อคอมมิท จะดูง่ายขึ้นเมื่อยังไม่ได้เซ็นคอมมิท นอกจากนี้ยังเป็นไปได้ที่จะสร้างนโยบายความปลอดภัยของแอปพลิเคชันที่ปฏิเสธการคอมมิตที่ไม่ได้ลงนาม

วิธีการตั้งค่าสัญญาที่ลงนาม

ต่อไปนี้คือวิธีตั้งค่า GitHub เพื่อใช้คีย์ SSH สำหรับการตรวจสอบ

1. อัปเดตเป็น Git 2.34.0 หรือใหม่กว่า จากนั้นไปที่ https://github.com/settings/keys และเลือก “รหัส SSH ใหม่” ตามด้วยการเลือก “รหัสการลงนาม”
2. จากนั้นไปที่ช่อง "คีย์" และเลือกโลโก้ 1Password เลือก "สร้างคีย์ SSH" กรอกชื่อเรื่อง จากนั้นเลือก "สร้างและเติม"
3. สำหรับขั้นตอนสุดท้าย เลือก “เพิ่มคีย์ SSH” และส่วน GitHub ของกระบวนการก็เสร็จสมบูรณ์

เมื่อตั้งค่าคีย์ใน GitHub แล้ว ให้ไปที่ 1Password บนเดสก์ท็อปเพื่อกำหนดค่าของคุณ .gitconfig ไฟล์เพื่อลงนามด้วยคีย์ SSH

1. เลือกตัวเลือก "กำหนดค่า" ในแบนเนอร์ที่แสดงด้านบน ซึ่งหน้าต่างจะเปิดขึ้นพร้อมตัวอย่างที่คุณสามารถเพิ่มลงใน .gitconfig ไฟล์
2. เลือกตัวเลือก “แก้ไขอัตโนมัติ” เพื่อให้ 1Password อัปเดต .gitconfig ไฟล์ได้ด้วยคลิกเดียว
3. ผู้ใช้ที่ต้องการการกำหนดค่าขั้นสูงสามารถคัดลอกส่วนย่อยและทำสิ่งต่างๆ ด้วยตนเองได้

ป้ายยืนยันสีเขียวเพื่อให้มองเห็นการยืนยันได้ง่ายจะถูกเพิ่มลงในไทม์ไลน์เมื่อคุณพุชไปที่ GitHub