GitHubは10月12日（現地時間）、各コミットをプッシュした認証済みユーザーを永続的に記録し、既存のauthorおよびcommitterフィールドとあわせてUIとAPIで表示する「Push attribution」を、GitHub Enterprise顧客向けに限定パブリックプレビューとして提供開始した。
authorおよびcommitterフィールドは、プッシュするクライアントが指定する文字列にすぎない。そのため、書き込み権限があれば任意の名前とメールアドレスを設定できる。これにより、低権限アカウントを侵害した攻撃者が信頼されたメンテナーを装ってコミットを偽造し、レビューポリシーを回避したり監査証跡を混乱させたりするおそれがあった。
プッシュ者IDはauthorやcommitterのメタデータとは独立して各コミットに付与され、コミットが表示される場所で確認できる。不審な活動のスポットチェックやセキュリティ調査の迅速化に役立つ。
あわせて、リポジトリルールの新しい条件「Committer must match pusher」も追加された。committerのメタデータが、プッシュ者の検証済みメールアドレスのいずれとも一致しないプッシュをブロックする。ルールセットに追加して適用する。
参加希望者はアカウントチームに連絡してアクセスを申請する。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
