security - 在 github、bitbucket 等存储库站点上托管敏感数据有多安全？

Question

这个问题已经有答案了:

How secure would github hosting be for private repositories? [closed] (4 个回答)

已关闭 4 年前。

这只是出于好奇而提出的问题。我想知道在 Github、Bitbucket 等存储库网站上托管敏感数据通常被认为有多安全？删除本地计算机上的所有代码并将其全部存储在那里是否足够安全？保守公司 secret 意义上的安全怎么样？我注意到这些网站宣传谷歌和雅虎等大公司使用他们的服务，但这些大公司实际上是否在这样的网站上存储他们的商业 secret 和重要的公司代码？

Github 有一个页面 ( http://help.github.com/security )，其中包含一些有趣的信息，表明他们正在将其营销为像我所描述的那样万无一失的东西。但在实践中，像谷歌这样的大公司真的发现他们的专有 secret 和大量代码真的不会受到窥探和在此类网站上发生灾难性事件吗？

Answer 1

一如既往，这取决于:-)

“安全”可以有两种不同的含义:

1. 我可以相信托管服务商会对我的资料(知识产权、公司 secret ...)保密吗？
2. 如果托管服务商突然停止服务，我的代码会怎样？

对于1.，没有100%的保证。
当然，像 GitHub 和 Bitbucket 这样的大型托管商不会故意与第三方共享您的代码，但总有可能某些黑客设法获取您的私有(private)存储库的内容。
(如果您在公司内部托管代码，这种情况也可能发生在您身上，但这不太可能，因为除非您的公司像 Google 那样广为人知，否则有人试图攻击您公司的可能性很大小于某人尝试攻击知名公共(public)托管服务商的可能性)。

此外，您还必须考虑托管服务商所在国家/地区的法律。
几周前，我在某处读到，如果您的托管服务商在美国，在某些情况下，他们可能会被法律强制将您的数据提供给美国政府，而且他们甚至不允许告诉您这一点(我不知道)记住法律的名称，但也许其他人知道)。

我猜想，所有这些都会导致大多数“大”公司不在公共(public)服务上托管其代码(我的公司是中型公司，我们也将代码托管在私有(private)服务上)。

顺便说一下，正如您提到的 Google:
我确信 Google 不会不使用 Bitbucket 或 GitHub。他们有complete infrastructure for project hosting他们自己，所以我猜他们也在内部使用它。他们为什么应该使用外部服务？是的，它在云中......但这是他们的云。

关于2.:GitHub 或 Bitbucket 不太可能明天就会破产，但你永远不知道。
IMO 您有责任自行备份代码。
DVCS 的性质确保您无论如何都有一些代码的本地副本，但在大量开发人员计算机上搜索所有项目的最新版本可能很困难。
我通过定期将所有存储库拉到本地计算机来做到这一点(我编写了一个 tool 可以为 Bitbucket 执行此操作，我将其用于我的私有(private)项目)