Beschreibung:
Der Kurzbericht zu GitHub untersucht die Verwendung von GitHub als Repository-System für nicht-Open-Source-Projekte. Es wird darauf hingewiesen, dass Daten über GitHub potenziell an Dritte weitergegeben werden, insbesondere bei nicht korrekt konfigurierten Repositories. Zudem wird der Zugriff auf den Quellcode kritisch bewertet.
Auszug aus dem Bericht:
„Die Nutzung von GitHub für Projekt, das nicht als Quelloffenes Open-Source-Projekt bereitgestellt werden soll, sondern speziell als Individualsoftware für einen spezifischen Auftraggeber entwickelt wurde, ist kritisch. Das u.a. den USA gehostete GitHub (Sitz des Betreibers) unterliegt nicht nur den dortigen Nutzungsbedingungen, sondern diese ebenfalls einem anderen Rechtsraum entspringenden Gesetzen und Verordnungen, die für den Auftraggeber weder verständlich noch greifbar sein könnten.
Die Wahl von GitHub als ein Repository-System für ein dem Geschäftsgeheimnis unterliegendes Softwareprojekt wird der Autor als kritisch und verantwortungslos gegenüber dem Auftraggeber bewerten. Stattdessen hätte beispielsweise das System „GitTea“ eingesetzt werden können, das über einen internen Server betrieben wird, auf den der Auftraggeber jederzeit uneingeschränkten Zugriff auf den Quellcode hat.“
„Der Quellcode des Auftraggebers befindet sich nun potenziell auf einer nicht näher spezifizierten Anzahl an Systemen Dritter, die außerhalb des Kenntnis-, und Verantwortungsbereichs sowie Zugriffs des Auftraggebers liegen. Sofern hier beispielsweise ein unberechtigter Zugriff eines Dritten (sei es intern bei GitHub, einem von GitHub eingesetzten Subunternehmer, oder eines „Hackers“, der sich unbefugt Zugriff auf den Code bei GitHub oder Subunternehmern von GitHub nimmt, oder möglicherweise durch einen Zugriff des Entwicklers auf des Codes bemächtigt), wäre ein unbefugter Zugriff des Entwicklers über das Repository des Auftraggebers möglich.“
„Der Zugriff auf das GitHub Repository des Auftraggebers wird durch API-Schlüssel und Zugangsdaten gesteuert, jedoch bleibt die Frage, wer auf die Repositorys des Auftraggebers zugreifen kann und wie diese Daten innerhalb von GitHub gespeichert sind, höchst bedenklich. Der Auftraggeber hatte zu diesem Zeitpunkt keine Kenntnis darüber, dass seine Repositorys und API-Daten öffentlich zugänglich sind.“
Risiken und Bedenken:
- Unbefugter Zugriff auf GitHub: Das Hochladen von nicht-Open-Source-Projekten auf GitHub kann zu Zugriffsrisiken durch Dritte führen, da diese unbefugten Zugriff auf den Quellcode erhalten könnten.
- Sicherheitslücken durch unzureichende Konfiguration: Wenn das Repository öffentlich oder unsachgemäß konfiguriert ist, kann es zu einem Zugang von Unbefugten und Datenmissbrauch kommen.
Empfohlene Maßnahmen:
- Verwendung von sicheren Repository-Systemen: GitHub sollte nur für Open-Source-Projekte verwendet werden. Für nicht-öffentliche Projekte ist es ratsam, ein internes Repository-System zu nutzen.
- Zugangskontrollen und Verschlüsselung: Alle Zugangsdaten und API-Schlüssel sollten gesichert und nicht öffentlich zugänglich gemacht werden.
- Verwendung von privaten Repositories: Repositories, die vertrauliche Daten enthalten, sollten immer privat und mit entsprechenden Zugriffskontrollen versehen werden.
Zusammenfassung:
„Der Zugang zu GitHub-Repositories sollte streng kontrolliert werden. Eine private Repository-Verwendung oder der Einsatz eines internen Servers wäre sicherer, um die Vertraulichkeit des Quellcodes zu gewährleisten.“