Besserer Schutz durch Passworttresore
Sensibles Material wie private Schlüssel und API-Keys hat in einem öffentlichen Coderepository nichts verloren. Es gehört in einen Passworttresor mit API-Zugriff.
Die E-Mail von GitHub von gestern Abend verheißt nichts Gutes. Der Betreff „Private Key exposed on GitHub“ beschreibt die Situation sehr präzise. Ein großer blauer Button im Text der E-Mail verspricht Abhilfe, kommt aber mehrere Stunden zu spät. Jetzt heißt es handeln: Den privaten Schlüssel widerrufen und aus dem Repository verschwinden lassen (siehe hierzu Artikel „Versteckte Git-Commits aufdecken“ auf Seite 144). Danach die Logs checken, ob mit diesem Schlüssel ein Login stattgefunden hat. Ähnliches gilt für ein verratenes Passwort oder einen API-Schlüssel.
Aber wie kommt ein Passwort, ein privater Schlüssel oder ein API-Key in das GitHub-Repository? Die Antwort ist einfach: Sie sind Teil des Quellcodes, den einer der Entwickler eingecheckt hat. Die eigentliche Frage muss lauten: Warum befinden sich sensible Daten im Programmcode? Besser ist es, das Schlüsselmaterial in einem Passwortsafe aufzubewahren, der nicht Teil des Repositorys ist. Sobald die eigene Software das Passwort benötigt, holt sie es sich aus dem Safe. Ob sich irgendwo ein Kennwort in die Programmzeilen eingeschlichen hat, zeigt ein Codescanner, der auf die Suche nach sensiblen Informationen abgerichtet ist.
