GitHub, yoğun trafikte açık depoların HTTPS klonlanmasında oturum isteyebilecek

GitHub, platformdaki herkese açık depolara erişimle ilgili önemli bir değişikliği duyurdu. Şirketin 19 Ekim tarihli değişiklik günlüğü notuna göre GitHub, olağan dışı trafik yaşandığı dönemlerde github.com üzerindeki bazı herkese açık depolar için kimlik doğrulaması yapılmadan gerçekleştirilen HTTPS clone ve fetch işlemlerini geçici olarak kimlik doğrulamaya bağlayabilecek.

Hangi işlemler etkileniyor?

Duyuruya göre önlem, tüm planlardaki kullanıcıların oturum açmadan HTTPS üzerinden yaptığı klonlama ve çekme işlemlerini kapsıyor. Etkilenen işlemler, kimlik doğrulaması gerektiğini belirten bir hata mesajıyla sonlanıyor. GitHub, korumanın anormal trafikle ilişkilendirilen sinyallere göre dar kapsamlı uygulanacağını, ancak bu sırada bazı meşru isteklerin de etkilenebileceğini kabul ediyor.

Şirket, bunun herkese açık depolar için kalıcı ve genel bir oturum açma zorunluluğu olmadığının altını çiziyor. Önlem yalnızca yoğun ve şüpheli trafik dönemlerinde devreye girecek ve koşullar normale döndüğünde kaldırılacak.

Etkilenmeyen işlemler

• Kimlik doğrulamasıyla yapılan HTTPS işlemleri
• SSH üzerinden yapılan clone ve fetch işlemleri
• Push işlemleri
• İlgisiz web ve API trafiği

Geliştiriciler ve CI sistemleri ne yapmalı?

GitHub'ın önerisine göre bu hatayla karşılaşan kullanıcılar oturum açarak işlemi yeniden deneyebilir ya da koruma kalktıktan sonra kimlik doğrulaması olmadan tekrar deneyebilir. GitHub Actions iş akışlarında yerleşik GITHUB_TOKEN kullanılması tavsiye ediliyor. Diğer sürekli entegrasyon sistemlerinde ise tercih edilen yöntem GitHub App kurulum erişim belirteci; kişisel erişim belirteci de çalışıyor. Kimlik doğrulaması yapamayan işlemlerin ise daha sonra yeniden denenmesi gerekiyor.

Değişiklik özellikle açık kaynak bağımlılıkları anonim olarak çeken derleme hatlarını ilgilendiriyor. Türkiye'deki yazılım ekiplerinin de CI yapılandırmalarını gözden geçirip açık depoları çeken adımlarda belirteç kullanmaya geçmesi, beklenmedik derleme hatalarının önüne geçebilir. Şirket, önlemin ne sıklıkla devreye gireceğine dair bir bilgi paylaşmadı.

Pratikte ne değişecek?

Birçok geliştirici açık kaynak projeleri indirirken herhangi bir oturum açmadan doğrudan HTTPS adresini kullanıyor. Bu alışkanlık özellikle bağımlılıkları her derlemede yeniden indiren otomatik sistemlerde yaygın. Yeni önlem devreye girdiğinde bu tür bir adım, oturum bilgisi tanımlanmamışsa hata vererek durabilecek. Bu nedenle sık kullanılan depolar için SSH anahtarı tanımlamak ya da Git'in kimlik bilgisi yardımcısına bir erişim belirteci kaydetmek, kesintilerden etkilenmemenin pratik yolları arasında yer alıyor. Belirteçlerin yalnızca okuma yetkisiyle ve sınırlı kapsamla oluşturulması da güvenlik açısından önem taşıyor. Ekiplerin, derleme kayıtlarında kimlik doğrulaması isteyen bir hata gördüklerinde sorunun kendi yapılandırmalarından değil bu geçici korumadan kaynaklanabileceğini de göz önünde bulundurması gerekiyor.

Kaynak: GitHub