Cím: A Gitlab mint DevSecOps platform (x)

Szerintem picit elbeszélünk egymás mellett. Én nem példát hoztam, csak azt nem értettem, hogy ettől a stratégiától önmagában miért hülye a gitlab? Mert hogy ezt elég sokszor alkalmazzák, ha nem akarsz usereket managelni vagy federálni, vag valami. Szóval, hogy mi a konkrét fájdalom.

Most megnéztem a doksit, ha jól látom, itt arról van szó, hogy ha feltöltesz vmit egy issueba, akkor az alapból egy ilyen url-t kap. Amit, ha tud valaki, akkor a public projektek issue-iba így belinkelt dolgokat akkor is el lehet érni. "For public projects or groups, anyone can access these files through the direct attachment URL, even if the issue, merge request, or epic is confidential.". Ez valóban nem túl szerencsés. Tudnék tippelni, hogy miért van így, de valóban nem túl szerencsés. Mindazonáltal akkora tragédia azért szerintem nincs, ilyenhez azért nem fér csak úgy hozzá akárki, ha nem szivárgott valahogy máshogy az egyébként normálisan autentikált tartalom.

Illetve hát, valójában ez csak akkor van, ha projekt public, szóval ha a projectet priváton/internálon hagyod, akkor nem kell ezzel csesződni, elveszed a partnertől az accot/kiveszed a projektből, és nem fogja őket elérni:

"Access to non-image files uploaded to:

• Issues or merge requests is determined by the project visibility.
• Group epics is determined by the group visibility.

... For private and internal projects, GitLab ensures only authenticated project members can access non-image file uploads, such as PDFs."

Szóval all in all, nyilván nem a legszerencsésebb ez a megvalósítás, de ha ésszel használod, akkor azért olyan nagy tragédia nincs.

Illetve némi nit-picking: Ez szerintem *nem* (szerk, kimaradt) igazán security by obscurity. Azt arra szoktuk mondani, amikor arról van szó, hogy azért biztonságos, mert nem ismered az algoritmust, mert ha ismernéd, vissza tudnád fejteni (Mondok blődet, az urlt egy "projectnév+incrementált számláló" string hash-ával képezzük. Ha ezt tudod, akkor tudsz egy csomó urlt). Ez nem ilyen, itt az algoritmus ismerete lényegében nem segít az esélyeiden. Ez valójában egy shared password (mint mondjuk egy snmp community string). Szóval nem sec by obscurity, simán csak gyenge :)

(A képek alapból látszanak, mert különben törnek a html emailek pl szerintem gázabb :) )

Ha még akarom vonni a hozzáférést egy partnertől, akkor miért kell azzal játszani, hogy kikeressem, az elmúlt években mik lettek megosztva vele?

Ami meg lett vele osztva a múltban, és letölthető fájl, arra úgy kell tekintened, hogy amúgy sem vonhatod meg a hozzáférést - már megvan neki lementve és kész. Teljesen felesleges trükközni mindenféle tokenekkel meg lejáró megosztásokkal itt, amit egyszer megosztottál neki, az meglesz neki, így kell erre tekinteni. És ez nem Gitlab-specifikus dolog.