Problema di sicurezza su come rendere pubblico il mio codice in GitHub

I'm I missing something here?

Sì. Affidarsi a persone che non conoscono il proprio codice sorgente per impedire che trovino exploit di sicurezza al suo interno è noto come sicurezza attraverso l'oscurità .

Il problema: non funziona. Gli hacker esperti non hanno bisogno del codice sorgente per trovare e sfruttare le vulnerabilità. Faranno un po 'di fuzzing per trovare input che causano problemi e quindi usare le loro conoscenze su come il sistema operativo / linguaggio / framework sottostante lavora per identificare una vulnerabilità.

È ampiamente riconosciuto che avere il codice sorgente aumenta la sicurezza pubblica abilitando le persone ben intenzionate a trovare vulnerabilità e correggerle , o almeno a dirlo allo sviluppatore . Ci sono due importanti ragioni per cui funziona:

• In genere ci sono più buone intenzioni delle persone malintenzionate
• Qualsiasi vulnerabilità riscontrata da una persona ben intenzionata verrà risolta per tutti; gli hacker hanno meno probabilità di collaborare

Ovviamente non funziona con i progetti di animali domestici che hanno pochi utenti attivi, ma è anche estremamente improbabile che vengano presi di mira da un hacker.

Prima di tutto, è possibile utilizzare il controllo della versione (distribuito) senza rendere pubblico il repository. Puoi semplicemente creare un repository sul tuo computer locale e inviare / rimuovere da altri computer. Puoi anche caricare il repository (offrendoti più backup e una collaborazione più semplice) senza renderlo pubblico. GitHub offre repository privati a pagamento, Bitbucket fa lo stesso e rende gratuiti i piccoli repository (5 persone o qualcosa). Certo, quindi non ottieni gli altri benefici che hai citato.

L'aspetto della sicurezza è piuttosto limitato. Ci sono molti, molti validi vettori di attacco che possono essere testati facilmente senza guardare il codice sorgente (lato server) (come essere attenti ai parametri GET e POST, controllare i cookie e la gestione delle sessioni, aggiungere input che dovrebbero essere sfuggiti e controllare se lo sono, ecc.). Se sei vulnerabile a qualcuno di loro, un aggressore determinato può sfruttarli ragionevolmente rapidamente senza guardare il codice sorgente. Gli errori più oscuri e difficili da sfruttare sono (probabilmente) anche più difficili da individuare nel codice sorgente, quindi, di nuovo, non perdi molto.

D'altra parte, renderlo pubblico e accettare i contributi può attirare persone che possono individuare gli exploit, senza alcun significato illecito, e parlarne (o persino correggerli da soli). Questo vale doppiamente se è davvero popolare ma non sei un esperto di sicurezza (senza offesa, ma non suona come uno, ad esempio, non hai menzionato la sicurezza attraverso l'oscurità e il modo in cui la tua preoccupazione non è un caso) .

BitBucket ha repository privati gratuiti e supporta sia git che mercurial.

Mettendo da parte il problema della sicurezza e se rendere pubblico il tuo codice lo valorizzerebbe o meno, puoi configurare tu stesso un sistema di controllo del codice sorgente sul tuo computer. In caso di git è banale, basta inizializzare un repository locale e il gioco è fatto, ma impostare un SVN non è un compito scoraggiante. Forse un'ora o due seguendo i tutorial, se hai poche conoscenze precedenti su come configurare SVN.

Quindi puoi ancora beneficiare del controllo del codice sorgente, indipendentemente dal fatto che tu abbia finito o meno di utilizzare un servizio online.

La maggior parte degli hacker dannosi viene eseguita in modo anonimo. Qualcuno in Russia sta eseguendo uno script che analizza gli host per le porte aperte, o che cosa hai. Nessuno invierà esplicitamente il tuo codice solo per trovare il modo di hackerare per fare del male. A meno che tu veramente non faccia incazzare qualcuno.