集中式与分布式版本控制安全性

Question

随着我公司开始进一步探索，从集中式版本控制工具（CVS，SVN，Perforce和许多其他版本）过渡到为团队提供分布式版本控制工具（在我们的案例中为Mercurial），我遇到了一个问题：

问题

一位经理提出了一个担忧，即分布式版本控制可能不如我们的CVCS选项安全，因为回购历史记录存储在本地开发人员的计算机上。

很难确定他的确切安全问题，但我已经收集到，它集中在一个事实，即恶意员工不仅可以正确地窃取最新知识分子，而且只需复制一个文件夹即可窃取我们的整个变更历史。

问题

• 分布式版本控制系统是否真的为项目引入了新的安全问题？
• 恶意窃取代码更容易吗？
• 完整的历史记录是否代表了最新版本的代码所没有的其他威胁？

我的想法

我认为这可能是一个错误的想法，认为集中化模型更安全，因为历史记录似乎更安全，因为它可以独立使用。 鉴于即使对集中存储库具有读取访问权限的用户也可以在任何关键修订版中有选择地提取项目快照，因此我不确定DVCS模型是否使一切变得如此简单。 而且，大多数CVCS工具都允许您使用单个命令提取整个仓库的历史记录，以便将其导入其他工具。

我认为另一个问题是将历史记录与最新版本进行比较的重要性。 当然，有人可以检入一个最高机密文件，然后将其删除，历史记录很快就会变得很重要。 但是即使在这种情况下，CVCS用户也可以使用单个命令检出该最高机密版本。

我很想看到DVCS成为完全受支持的工具选项，所以我肯定会漏掉一些东西或轻描淡写的风险。 请提供您对安全性问题的任何想法。

Answer 1

如果您具有对CVCS的读取访问权限，则您具有足够的权限将存储库转换为DVCS，人们一直在这样做。 没有软件工具可以保护您免受不满的员工窃取您的代码的侵害，但是DVCS提供了更多与不可靠的贡献者打交道的选项，例如网守工作流程。 因此，它在开源项目中得到了广泛的使用。

Answer 2

• 您是正确的，因为开发人员已经在两种情况下都可以访问代码，所以分布式版本控制并没有真正引入任何新的安全问题。 我只能认为，由于使用GIT可以更轻松地进行脱机和异地工作，因此与集中式开发相比，开发人员可能更愿意这样做。 我会在所有公司笔记本电脑上使用代码强制加密
• 并不容易，就一样。 如果启用日志，则在访问代码时将具有相同的信息。
• 我个人不这样认为。 它可能代表导致某些决定但不一定要做出更多决定的思维过程。

归结为两种情况下如何实施安全措施的知识。 如果您在一个系统上比在另一个系统上有更多的经验，那么您更有可能实施更多的系统来防止这种损失，但是到了最后，您会在允许开发人员访问代码的那一刻就信任您的开发人员。 没办法解决。

Answer 3

DVCS提供了各种保护措施，以防止未经授权的写入。 这就是为什么它在开源团队中很受欢迎。 它在控制阅读方面有几个令人沮丧的局限性。 开源团队对此并不关心。

第一个问题是大多数DVCS会鼓励使用完整源的许多副本。 典型的粒度是完整存储库。 除了历史问题（以及可搜索的提交注释，这些注释可能使代码对攻击者更加有用）之外，这可以包括许多不需要的分支甚至整个其他项目。 CVCS鼓励开发人员将尽可能少的内容复制到其桌面，因为复制的内容越少，其工作速度越快。 您在移动设备上放置的次数越少，保护起来就越容易。

当用许多充当服务器的设备来实现DVCS时，要实现有效的网络安全性要困难得多。 攻击本地CVCS工作区要求攻击者获得对文件系统的访问权限。 攻击DVCS节点通常需要在承载信息的任何设备上攻击DVCS本身（请记住：维护大多数DVCS的人是开源人员；他们不太关心读取控件）。 托管存储库的设备越多，用户设置匿名读取访问的可能性就越大（DVCS再次由于其开源根源而鼓励这样做）。 这大大简化了进行随机扫描的攻击者的工作。

基于URL的CVC（如Subversion）为细粒度的访问控制（如每个分支访问）打开了机会。 DVCS倾向于对抗这种访问控制。

我知道像DVCS这样的开发人员，但是无法像CVCS一样有效地保护它。 大多数环境在保护其CVC方面做得很糟糕，如果是这种情况，那么使用哪种都无关紧要。 但是，如果您认真对待访问控制，那么作为更广泛的最小特权基础结构的一部分，您可以对CVCS进行更大的控制。

许多人可能会认为没有理由保护源代码。 很好，人们可以对此进行争论。 但是，如果您要保护源代码，最好的实现方式是不要将源代码复制到随机笔记本电脑（很难很好地保护好），而要让开发人员从中央服务器安装它。 CVCS通过这种方式运作良好。 如果您要以这种方式将DVCS保留在单个服务器上，则DVCS毫无意义。 如果要将文件复制到移动设备，请确保复制得越少越好。 这与DVCS相反。

Answer 4

有很多“安全性”问题。 它们是否是一个问题取决于您的设置：

• 有更多的数据在浮动，这意味着概念上的“攻击面”可能更大（取决于您的计算方式）。
  • 但是，“典型”开发人员会检出多少数据？ 您可能想要在svn中使用稀疏签出，但是懒惰的人和某些GUI工具不支持该功能，因此无论如何他们都会签出您的所有代码。 Git用户可能更可能使用多个存储库。 这取决于你。
• 身份验证/访问控制可能更好（也可能更糟！）。 这很大程度上是VCS的功能，而不是VCS是“ D”还是“ C”。 svn://是纯文本。
• 删除文件是优先事项吗，这做起来有多容易？ 如果它是在遥远的过去发生的，那么在git中意外提交机密文件会更加痛苦（但是人们可能会注意到）。
• 您是否真的会注意到恶意用户在提取整个历史记录，而不是仅仅进行结帐？ 这取决于您的存储库有多大，分支机构如何。 完整的SVN结帐由于分支而要比存储库本身占用更多的空间很容易。
• 变更历史记录通常不是您想要免费赠送的（即使是拥有源代码许可的人也可以免费赠送），但是它有多有价值？ 也许您的提交消息中包含最机密的设计方法或机密信息，但这似乎不太可能。

最后，安全经济学：

• 额外的安全保护价值多少？
• 提高生产力值多少钱？
• 您对开发人员的价值顾虑有多少？

（IIRC证明用户应该忽略安全建议，因为预期的成本超过了预期的收益–对于昨天过期的证书之类的情况尤其如此。每次键入时都要检查地址栏多少钱？密码？您多久捕获一次网络钓鱼企图？每次遭到阻止的网络钓鱼企图给您带来什么代价？每次成功的网络钓鱼需付出多少代价？）