Proton Passを使ってgit commitの署名とpushに使う鍵を管理する - Lambdaカクテル

id:Windymelt は日頃からgit commitをするときはデジタル署名をつけるようにしている。仕事の上では必須ではないのだけれど、OSSとかでは求められることがある。なんとGitHubはコミットに書かれたメールアドレスとユーザ名をそのまま信用して表示するので、なりすますのは簡単なのだ*1。そこで、デジタル署名することでより強く本人のコミットであるということを主張できる。また、GitHubでは署名を行うことをリポジトリ単位で強制することができて、自作のOSS用リポジトリでも基本的に署名を要求するように設定している。こうすることで、もし自分のアカウントが乗っ取られても署名用の鍵まで同時に盗むことは困難だろうから、コミットやリリースがなんかおかしいことに気付くことができる。 自分は普段はYubikeyでssh認証とGPG署名をまかなっていて、これは秘密鍵がトークンの外に出ることが絶対に