AUT-0716· Безпека та відповідність
Розгляд винятку для захисту секретів перед збереженням коду
Заблокований запис коду отримує окреме рішення уповноваженого перевіряльника; погодження звіряється з фактичним результатом без копіювання секрету.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Розробник не може зберегти код через знайдений секрет, а запит на виняток губиться або погоджується без перевірки. Рішення помилково вважають завершеним збереженням коду.
02 / Результат
Для конкретного заблокованого запису коду є чинне рішення, підстава та фактичний стан; відкритий, прострочений і завершений запити розрізняються.
03 / Процес
ТригерЗахист секретів заблокував передавання коду й створено запит на дозволений виняток.
Зберегти ідентифікатор запиту, автора, репозиторій, редакцію коду та доступні шляхи; значення секрету не переносити в загальну задачу чи повідомлення.
Перевірити доступність призначеного перевіряльника й строк запиту; невідомий склад або зміну редакції передати на уточнення.
Уповноважений оцінює підставу винятку за правилами організації; чинний виробничий секрет не вважати безпечним лише через пояснення автора.
Зафіксувати дозволене погодження або відмову в джерелі з причиною; за витоку відкрити окремий маршрут реагування й заміни секрету.
Повідомити автору підтверджене рішення; за відмови потрібне виправлення коду, за погодженням — окремий дозволений запис.
Звірити фактичний стан запиту й результат передавання коду; відкрите погодження, скасування та прострочення не позначати завершеними.
04 / Реалізація1 варіант
Приклад · Контроль із підтвердженням результату
Запит стосувався погодженого тестового зразка. Перевіряльник зафіксував підставу, але запит залишався відкритим до фактичного передавання коду. Виробничий ключ у іншому запиті передали на окреме реагування.
Спосіб реалізації
- Вести чергу заблокованих записів коду та окремих рішень перевіряльника.
- Звіряти рішення й фактичний стан запиту через перевірений маршрут захисту репозиторію.
Що потрібно для реалізації
- Увімкнений підтриманий захист секретів із маршрутом запиту винятку.
- Призначені перевіряльники, правила дозволених винятків і строк розгляду.
- Метадані запиту та контроль доступу до чутливого вмісту.
- Правила виправлення коду й окремий маршрут підтвердженого витоку.
Обмеження
- Виняток не відкликає секрет і не усуває його можливу компрометацію. Для дійсного ключа потрібне окреме рішення власника безпеки.
- У GitHub відкритий запит може вже мати погодження, поки код ще не передано; запити мають визначений строк дії. Метадані можуть залежати від способу передавання.
- Увімкнення захисту всіх репозиторіїв, переписування історії, автоматичне погодження винятків і заміну виробничих ключів не включено. Доступність функції й політики перевіряють на аудиті.
- Права й можливості цільового середовища перевіряють на аудиті; години попередні.
Що потрібно уточнити (2)
- Чи треба координувати запити кількох репозиторіїв і перевіряльників?
Надайте метадані, власників і дозволені маршрути без значень секретів.
- Чи потрібна звірка фактичного передавання, прострочення та виправленого запиту?
Погодьте стани завершення, строки та правила нового розгляду.