git - 将部署(只读)github key 存储在私有(private)仓库中是否安全

Question

我在 Github 私有(private)存储库中存储了部署(只读)私钥，该 key 只​​能用于克隆此存储库本身。

几乎每次在 git 中存储私钥都是一种不好的做法，并且实际的 key Material 可以移动到环境变量中，以便在部署/更新期间呈现给 AWS 用户数据等。

我的问题是 - 如果 key 仅限于特定存储库本身的只读，这是否可以被视为安全问题？如果您克隆了存储库，则您已经拥有访问权限，并且使用此部署 key 无法获得任何额外的东西。

Answer 1

通常，将凭据存储在存储库中并不安全。如果有人掌握了您的存储库的快照(例如，您留下了可通过 HTTP 访问的网站的 .git 目录，或者某人掌握了 tarball)，那么攻击者就可以恢复 key 。现在，攻击者不仅可以获取存储库的历史版本，还可以在无限期的 future 获取任何较新的版本。

我强烈建议您不要这样做，因为这几乎总是一个坏主意。如果您对此项目有任何类型的安全或合规性要求，则在存储库中存储凭据可能会违反这些要求。

此外，GitHub 还具有凭据扫描功能。我不知道它是否从私钥计算 SSH 公钥，但您可能会发现，一旦您将部署 key push 存储库，您的部署 key 就会被自动撤销并列入黑名单。即使现在没有发生这种情况，GitHub 也可能会在以后添加对此的支持，并且 future 的推送可能会撤销该 key 。

如果您确实需要将这些凭据存储在存储库中，正确的方法是以某种加密形式存储它们。您可以使用 gpg 使用密码对其进行加密，还有一些特定于项目的 secret 存储技术，例如使用 Chef 的存储库。如果 Vault 等解决方案能更好地满足您的需求，您也可以使用它。