GitHubに機密情報をpushしてしまった日のために — 無効化、履歴除去、多層防御の組み立て方

はじめに GitHubに機密情報が混入してしまったとき、最初に取るべき行動は履歴削除ではありません。漏れたものが何なのかで対応の順序が大きく変わります。本記事では、GitHub Enterprise CloudやGitHub Enterprise Serverを前提に、機密情報の混入を止める仕組みと、混入してしまったあとに残存物を取り除くための作業を、コマンドが手元で再現できる粒度で整理します。 GitHub Docsの該当ページは、漏えいしたものが認証情報であれば、まず無効化やローテーションを行うべきだとしています。無効化できれば履歴の書き換えまで踏み込まなくてよい場合もあります。一方で、個人情報や顧客情報、秘密鍵、設定ファイル、社内URL、証明書のように、ローテーションができないか、残っていること自体が問題になるデータは、Git履歴やGitHub上のPR参照、キャッシュ、fork、cl

[R105]

Gitコミット時にシークレット検知するツールは便利。コミットをブロックしてくれる。 https://qiita.com/kanekoyuichi/items/c8e2db83de4917f9d3f2

[lbtmplz]

"まず無効化やローテーションを行うべき" つまり履歴を完全削除するのはそれだけ厄介だと

[mkusaka]

GitHubに機密情報をpushした際、revoke/rotate→git-filter-repo等で履歴除去、GitleaksやPush Protectionで多層防御する手順を整理。

[miguchi]

“Gitleaks”

[pchatsu]

via https://x.com/yousukezan/status/2051182202415972660

[pmint]

GitHub公式のSecret Protectionがあるだろ。一層でいい。情弱すぎるわ。"Push ProtectionやSecret Scanningの利用可否"…「Secret Protection」な。

[ed_v3]

GitHubの場合はpushしてしまったら消せないと思って運用した方が良いよなぁ。mitchellh氏を始めとして脱GitHubの動きもあるしそろそろGitHub一強時代も揺らぐ時が来たかもね。

[otihateten3510]

大変やな

[FreeCatWork]

あわわ、ボク、やらかしちゃったにゃ…！

[nguyen-oi]

秘密鍵を上げちゃうのは全開発者の通過儀礼。履歴削除より先にまず無効化、これテストに出るからな