Peta dunia

 

EN

Dunia 8: Perisai: Keselamatan

SECURITY.md dan nasihat keselamatan

Anda akan belajar: cara melaporkan pepijat keselamatan secara sulit, dan cara projek membaikinya.

Teks BM belum disemak oleh penutur asli.

Masalahnya

Anda jumpa pepijat dalam projek yang popular. Ia bocorkan kata laluan. Patutkah anda tulis dalam issue awam? Penyerang pun baca issue.

Tengok

Fail dasar keselamatan (SECURITY.md) (security policy (SECURITY.md)): Fail yang beritahu cara melaporkan pepijat keselamatan secara sulit. (dasar keselamatan) beritahu cara melaporkan pepijat keselamatan secara sulit. Ia macam README, tapi khas untuk keselamatan.

Cuba

Beri diari anda dasar keselamatan. Tulis SECURITY.md, kemudian commit.

Folder kerja
  • Kosong
Kawasan staging
  • Kosong
Repositori
  • 3 titik simpan
  • Ignore log files
  • Add day 1 page
  • Add README

Tengok

Satu laporan sampai. Kini penyelenggara buka security advisory (nasihat keselamatan) (security advisory): Ruang sulit untuk baiki pepijat keselamatan, kemudian amaran awam tentangnya. (nasihat keselamatan). Ia macam bilik sulit. Mereka berbincang, baiki pepijat, kemudian terbitkan amaran untuk semua.

Cuba

Susun cara selamat untuk urus pepijat keselamatan. Yang pertama di atas.

Langkah pertama di atas. Susun ikut turutan. Guna anak panah, atau seret.

  • Mereka keluarkan versi yang dibaiki
  • Penyelenggara buka draf advisory
  • Seseorang laporkan pepijat secara sulit
  • Mereka baiki secara sulit
  • Mereka terbitkan advisory itu

Teka

Advisory dah diterbitkan. Aplikasi kawan anda masih guna versi lama. Siapa yang beri amaran kepada mereka?

Semak

Pelapor yang bagus, atau perlu baiki? Leret setiap satu.

Leret ke kanan untuk bagus, ke kiri untuk perlu baiki. Atau guna butang.

1 / 4

Ikut langkah dalam SECURITY.md

Anda berjaya!

Kini anda boleh urus pepijat keselamatan dengan cara selamat.

Nak tahu lebih (pilihan)

Pemilik repo boleh hidupkan private vulnerability reporting. Kemudian sesiapa pun boleh lapor terus ke dalam draf advisory. Penyelenggara boleh baiki pepijat dalam fork sulit sementara. Mereka juga boleh minta id CVE dari GitHub. Itu nama sedunia untuk pepijat itu.