网爆 github 私有库泄露，公司老板问要不要迁移？

[plusDiscuss]

爆出来的信息是 2020 年 3 月 28 日入侵的，这私有库里可是各种密钥都有。公司老板看了消息问要不要改密钥、然后迁移代码哭。 怎么知道这次泄露的面积？

[araaaa]

干脆就你们自己内网搭一个呗

[cabing]

内网 gitlab

[v2gba]

搜到的信息是微软的私有库被拖

贵司微软?

[loading]

居然不是马上修改里面所有密钥相关的东西？

[plusDiscuss]

@MrGba2z 不是，因为不清楚泄露面积，所以不知道风险有多大。

[v2gba]

@plusDiscuss
新闻说的是微软员工账号被 hack 导致被拖
如果这个没错的话, 那应该是不会影响别的库

[Procumbens]

https://www.zdnet.com/article/hacker-gains-access-to-a-small-number-of-microsofts-private-github-repos/

https://www.bleepingcomputer.com/news/security/microsofts-github-account-hacked-private-repositories-stolen/

看新闻是 hack 了一位微软员工，从而得到了部分微软 private repo 的共计 500GB 的内容

The only sensitive issue might be that some projects could contain access tokens and API credentials that may now have to be revoked.

不必太担心

[whileFalse]

把密钥丢库里不符合最佳实践。

[bequt]

基本安全性都是一样的，本地也有风险（第一崩了，第二被盗），云端也有风险（被盗+）。

[Qusic]

管理好密钥就够了 感觉上常规的软件公司互联网公司的大部分代码都不值钱吧，泄漏了也不能怎么样（🐶

[Sapp]

上次 🍺🍐🍺🍐 那个人抓到了吗

[zachlhb]

密钥什么的为什么要同步 Git ？

[ryh]

就算是私有库，token 之类不应该 gitignore 么

[Devilker]

泄露没泄露你们用的那部分储存服务器，也得首先修改密钥。

[xinple]

不管公有私有库，密钥之类的绝不放在库里。

[Ryzebo]

内网 gitlab 很香啊

[killerv]

- 秘钥不应该上传到 Git
- 公司最好自己搭建 Gitlab