गिटहब में खामी से हस्ताक्षरित कमिट्स को बिना हस्ताक्षर तोड़े बदलना संभव

गिटहब में एक कमजोरी सामने आई है जिससे पता चला है कि डिजिटल हस्ताक्षरों से सत्यापित कमिट को सुरक्षा मुहर को तोड़े बिना संशोधित किया जा सकता है। इसका मतलब है कि एक हमलावर विश्वसनीय एप्लिकेशनों के स्रोत कोड में बदलाव कर सकता है, बिना डेवलपर्स या अंतिम उपयोगकर्ताओं को साधारण नजर से इस बदलाव का पता चले। इन मुहरों पर रखा गया भरोसा संदिग्ध हो जाता है।

कमजोरी कैसे काम करती है और कोड सत्यापन पर इसका प्रभाव 🔐

गिट में कमिट का डिजिटल हस्ताक्षर लेखक की पहचान सत्यापित करता है, लेकिन यह कमजोरी मूल हस्ताक्षर को अमान्य किए बिना कमिट के संदेश या मेटाडेटा को फिर से लिखने की अनुमति देती है। यह संभव है क्योंकि गिटहब का सत्यापन पूरे कमिट की सामग्री के बजाय GPG कुंजी पर केंद्रित है। डेवलपमेंट टीमों के लिए, इसका मतलब है कि कोड की मैन्युअल समीक्षा और सामग्री में ही हस्ताक्षरों का कार्यान्वयन प्रतिरूपण से बचने के लिए आवश्यक उपाय हैं।

गुणवत्ता की मुहर जो कुछ भी सील नहीं करती 🛡️

पता चला कि सत्यापित कमिट का प्रसिद्ध हरा ताला कार्डबोर्ड के दरवाजों के ताले जैसा है: यह तब तक भरोसा देता है जब तक कोई फूंक न मारे। अब डेवलपर्स को हर पंक्ति की समीक्षा करनी होगी जैसे कि उनकी कॉफी इस पर निर्भर हो, क्योंकि आँख बंद करके किसी हस्ताक्षर पर भरोसा करना लगभग उतना ही भोलापन है जितना यह मानना कि कोड बग-मुक्त है सिर्फ इसलिए कि इसे शुक्रवार की शाम एक सीनियर ने लिखा था।