Dotaz: je Git bezpecny?

[chtel_bych_se_zeptat]

Ahoj, dnes jsem slysel "git nema na produkcnim serveru co delat, neni to bezpecne".

Pro priklad. Linuxovy server s Apachem, ktery ma nastaveny document root do zclonovaneho repository s kodem jednoduche php aplikace.

Kdyz developer provede push do repository, webhook spusti automatizaci, ktera provede na serveru "git pull".

Vse je overeno pres GitHub secret token.

Je nainstalovany git na produkcim serveru opravdu problem?

Predem diky.

Odpovědi

[X]

Nikdo ti to nezakazuje, ale pokud se mluvi o "produkcnim serveru" tak je to zpravidla v prostredi, kde existuje i "vyvojovy server", pripadne "testovaci server". V takovem prostredi to tam skutecne nema co delat. To neni tvuj pripad.

[luky]

git nema na produkcnim serveru co delat, neni to bezpecne

Git muze bezet treba pres SSH. V tom pripade je to stejne bezpecne jako to SSH.

[Matlák]

Jde hlavně o to aby ten .git adresář nebyl dostupný přes apache. Na serverech se mi docela často vyskytují v logu pokusy o získání .git adresáře, jak to různí chytráci zkouší (já osobně na server nasazuju přes CI a git bych tam nedal).

Pokud si hodíš repozitář na server tak že je .git adresář přístupný, někdo ti ty zdrojáky naklonuje a pak si v nich v klidu může hledat bezpečnostní díry Takže ano, klidně to tam dej, ale ošetři si ať ti tam nikdo neleze (a budeš na to muset myslet aby se ti to omylem nestalo)... Jo a doporučuju nedávat si pak do repozitáře produkční hesla do databází a tak

[Kit]

Pokud Apache nemá přístup do kořene projektu, kde se kromě adresáře .git nachází spousta dalších zajímavých souborů a adresářů, není se čeho bát. Nejčastěji se kořen webu umisťuje do podadresáře www, ve kterém kromě CSS, JS, obrázků apod. nenajde útočník nic zajímavého.

[jiwopene]

Mě se osvědčilo mít repositář jinde než aplikaci. Je tam nastavený hook tak, aby při pushnutí kódu zastavil službu (server), aktualizoval soubory, které jsou v jiném adresáři a znovu ji spustil. Push probíhá pod uživatelem, který má přístup k repositáři i k datům. Uživatel WWW serveru nemá přístup k repositáři.

V tomto případě nehrozí to, že by si někdo prohlížel repositář přes HTTP ani kdybych v konfiguraci serveru udělal jakoukoliv pitomost.

[Filip Jirsák]

Není tím myšlena aplikace git, ale repositář se zdrojovými soubory. Mohou tam být soubory (případně i v historii), ke kterým by se neměl nikdo dostat.

Aktualizovat web přes git není dobrý nápad. Aktualizace není atomická, takže v průběhu aktualizace bude nějaká doba, kdy jsou na serveru pomíchané soubory ze staré a nové verze. Když v tu chvíli navštíví web uživatel, nejspíš mu nebude fungovat. Soubory se zároveň nakešují, takže třeba bude nějakou dobu trvat, než se toho uživatel zbaví. A ještě horší bude, pokud se to nakešuje na nějakém proxy serveru.

[j]

1) jednak je to vec, kterou k provozu nepotrebujes = nemela by tam byt

2) druhak je to appka, ktera se muze nejak podelat, a ty z ni delas zavislost svy appky = kdyz se podela, podela se i tvoje appka

3) tretak je to vec, co nejak komunikuje po siti, a to je vzdycky zajimavy z pohledu nejakyho utoku, i kdyby to melo fungovat jen jako postranni kanal

4) ctrtak me napada, neumi nahodou git linkovat externi repo? Jako ze si pripojis trebas nejakou knihovnu? Pak je to uzasnej zpusob jak na produkci dostat jinou verzi nez na test.

BTW: "onosetosamo" je nejlepsi cesta do pekel.

---

Dete s tim guuglem dopice!

[Brokarna]

Nainstalovat si na server git jako takovy imho nebezpecne neni, ale pokud ho tam chci pouzit misto jineho systemu pro nasazeni novych verzi, tak je vhodne, aby ten git repozitar nebyl viditelny zvenku (z nekolika duvodu, ktere jsou uvedene uz v odpovedich vyse). Pekny clanek a pruzkum sepsal Vlada Smitka na https://lynt.cz/blog/globalni-scan-otevrenych-git-repozitaru/.