GitHub-da ‘Verified’ Commit-lər İmza Pozulmadan Yeni Hash-lərə Yenidən Yazıla Bilir
13rose
2 min read
Git Commit Hash-lərinin Unikallığı Şübhə Altında
Son araşdırmalar, proqram təminatı dünyasının böyük hissəsi tərəfindən təkrarolunmaz adlandırlan imzalalanmış Git commit-inin hash dəyərinin əslində o qədər də unikal olmadığını ortaya qoyub. Bu tapıntı, GitHub platformasında kodun identifikasiyası və etibarlılığı ilə bağlı köklü fərziyyələrə meydan oxuyur.
“Verified” Statusunun Yenidən Qiymətləndirilməsi Zərurəti
Tədqiqat göstərir ki, hər hansı bir imzalanmış commit üçün, imzalayan açara sahib olmayan bir şəxs, orijinal commit-lə eyni fayllar, müəllif və tarixi əks etdirən ikinci bir commit yarada bilər. Ən narahatedici məqam isə budur ki, bu yeni yaradılmış commit qüvvədə olan bir signature daşıyır və GitHub onu hələ də “Verified” statusu ilə təsdiqləyir. Nəticədə, kodun nəzərdən keçirilməsi zamanı bütün parametrlər (fayllar, müəllif, tarix, signature) orijinal commit-lə üst-üstə düşsə də, commit-in əsas identifikasiyası olan hash dəyəri fərqli olacaq. Bu fərq isə təhlükəsizlik baxımından əhəmiyyətlidir.
Kiber Təhlükəsizlik İmplikasiyaları
Bu zəiflik proqram təminatı supply chain hücumları üçün potensial qapılar aça bilər. İnkişafçılar və təşkilatlar GitHub-ın “Verified” statusuna tamamilə etibar edərək, təsdiqlənmiş görünən lakin əslində müdaxilə olunmuş kodları qəbul edə bilərlər. Bu, layihələrə zərərli kodun yeridilməsinə, saxta yeniləmələrin yayılmasına və ya təhlükəli funksionallığın legitimliyi kimi təqdim edilməsinə şərait yarada bilər. Nəticədə, bu, inkişaf proseslərinə olan etibarı sarsıdır və proqram təminatının bütövlüyü (integrity) ilə bağlı ciddi suallar doğurur.
İnkişafçılar Nələrə Diqqət Yetirməlidir?
Bu tapıntı, inkişafçılar və layihə menecerləri üçün yalnız “Verified” statusuna əsaslanmaqdansa, kodun bütövlüyünü təmin etmək üçün əlavə yoxlama mexanizmlərini tətbiq etməyin vacibliyini vurğulayır. Git commit-lərinin dəqiqliyini yoxlamaq üçün daha dərin analitik alətlərdən istifadə və çoxqatlı təsdiqləmə prosesləri gələcəkdə daha əhəmiyyətli ola bilər. GitHub və Git icmasının bu məsələyə necə yanaşacağı yaxın gələcəkdə aydınlaşacaq.
