git 协议可能被中间人攻击吗？

[x199ian]

今天看到个项目用到 git clone git://git.busybox.net/busybox ，不太了解 git 协议，这有被中间人攻击的风险吗？

[lambdaq]

@x199ian git 的「协议」只是一种格式，可以通过 ssh 传输，也可以通过 https 传输，当你用 http 协议传输肯定能被容易中间人的。

[keith1126]

@timpaik #20

并没有吧，反正据我观察，用 GPG 签名的人并不多。

而且另一方面，由于 GPG 签名不是强制的+普及度不高，当你遇到一个没有签名的 commit ，大概率只会觉得是对方没签名，而不是被篡改了。

[Tobias747]

GitHub 官方八月份已经支持显示 SSH commit verification, 建议开启[SSH commit verification now supported | GitHub Changelog]( https://github.blog/changelog/2022-08-23-ssh-commit-verification-now-supported/)

[Greenm]

git 不关注应用层的安全性，所以原则上是有风险的。

主流的 SaaS 服务商部署的 git 都是走的 SSH 或者 https ，这两个协议能够较好的防止中间人，如 github, gitlab 等。 但你如果自建 git 服务器，那就无法避免被中间人。

[zk8802]

Git 被中间人攻击之后可能被用来直接攻击客户端，而不仅仅是修改 commit 历史。参见 CVE-2018-11233 和 CVE-2018-11235 。

不应该在不安全的网络环境下使用 Git （尤其很多人习惯性忽略 SSH host key 不匹配的提示）。

[kkeep]

@keith1126 防篡改不是高强度的 hash 区块链也可以从第一个开始伪造，但是别人不认。

我记得是这样？

[forcecharlie]

git 协议与 Git Over SSH/ Git Over HTTP 不一样，git 协议是非安全协议，传输流没有加密环节，公网传输可能是不安全的，Git Over SSH (ssh:// or [e-mail]:some/some.git) 走的是 SSH 安全通道，Git Over HTTP 可以走 https 。

很多代码托管平台并不开放 git 协议，但可以使用 git 协议作为内部存储节点之间的传输协议。

利益相关：从事 git 代码托管开发多年。