अनजान SSH की का वास्तव में क्या मतलब है
GitHub अकाउंट पर सूचीबद्ध SSH की एक ऐसा क्रेडेंशियल है जो उस अकाउंट के रूप में प्रमाणित हो सकता है। ऐसी की दिखना जिसे आप नहीं पहचानते, जाँच का कारण है, निष्कर्ष नहीं। हो सकता है कि की किसी ऐसे डिवाइस की हो जिसे आप भूल गए हैं, किसी पूर्व टीम सदस्य के सेटअप की हो, किसी पुराने लैपटॉप की हो, या कुछ ऐसा हो जिसे आपने अधिकृत नहीं किया। सुरक्षित तरीका यह है कि कुछ भी हटाने से पहले मालिक और उद्देश्य की पहचान करें, क्योंकि किसी वैध वर्कफ़्लो द्वारा उपयोग की जा रही की हटाने से वह वर्कफ़्लो टूट जाएगा।
GitHub कई चीज़ों को अलग-अलग एक्सेस पाथ मानता है। व्यक्तिगत SSH की, किसी रिपॉज़िटरी से जुड़ी डिप्लॉय की, और अधिकृत OAuth एप्लिकेशन अलग-अलग तंत्र हैं जिनके अलग-अलग स्कोप हैं। एक का ऑडिट करना दूसरों का ऑडिट नहीं है।
GitHub SSH की, डिप्लॉय की और अधिकृत एप्लिकेशन को अलग-अलग एक्सेस पाथ के रूप में ऑडिट करने की सलाह देता है। स्रोत
पहले और बाद की चेकलिस्ट
इसे कार्यसूची की तरह इस्तेमाल करें। “पहले” कॉलम तथ्य जुटाने के बारे में है; “बाद” कॉलम परिणाम की पुष्टि करने के बारे में।
| चरण | जाँच | क्यों मायने रखता है |
|---|---|---|
| पहले | अकाउंट पर दिख रही हर SSH की को उसके शीर्षक और दिखने वाले फिंगरप्रिंट या निर्माण विवरण के साथ सूचीबद्ध करें | कौन-सी प्रविष्टि अनजान है, यह तय करने से पहले पूरी तस्वीर चाहिए |
| पहले | हर की को किसी ऐसे डिवाइस या व्यक्ति से मिलाएँ जिसका नाम आप बता सकें | बिना नाम वाली की ही संदेह की हकदार है |
| पहले | पूछें कि क्या कोई मौजूदा वर्कफ़्लो इस की पर निर्भर है (बिल्ड, डिप्लॉयमेंट, साझा मशीन) | सक्रिय उपयोग वाली की हटाने से वह वर्कफ़्लो टूट जाएगा |
| पहले | जाँचें कि क्या वही एक्सेस डिप्लॉय की या अधिकृत एप्लिकेशन के ज़रिए भी दिया गया है | ये अलग पाथ हैं और इनकी अपनी समीक्षा चाहिए |
| पहले | फैसला करें: रखें, बदलें, या हटाएँ | पुरानी की को साधारण हटाने के बजाय बदलने की ज़रूरत हो सकती है |
| बाद | पुष्टि करें कि की अब अकाउंट की SSH की सूची में नहीं दिख रही | दिखने वाली सूची आपकी पहली पुष्टि है |
| बाद | पुष्टि करें कि प्रभावित वर्कफ़्लो अब भी काम करता है, या आपके पास बदलने का रास्ता है | हटाने से कोई वैध प्रक्रिया अटकी नहीं रहनी चाहिए |
| बाद | नोट करें कि आपने क्या और कब हटाया, बिना की सामग्री दर्ज किए | रिकॉर्ड भविष्य के ऑडिट में मदद करता है |
अकाउंट SSH की हटाना
हटाना अकाउंट सेटिंग्स में होता है। GitHub का दस्तावेज़ी रास्ता है Settings, फिर SSH and GPG keys, जहाँ आप अकाउंट SSH की की समीक्षा कर सकते हैं और अनजान या पुरानी की हटा सकते हैं।
Settings, SSH and GPG keys में अकाउंट SSH की की समीक्षा करें और अनजान या पुरानी की हटाएँ। स्रोत
दायरा संकीर्ण रखें। यह कदम अकाउंट SSH की हटाता है। यह डिप्लॉय की नहीं हटाता, अधिकृत एप्लिकेशन रद्द नहीं करता, या रिपॉज़िटरी सामग्री नहीं बदलता। अगर आपके ऑडिट में उन क्षेत्रों में समस्या मिली है, तो उन्हें अलग काम के रूप में संभालें।
हटाने से पहले विचार करने योग्य वैध वर्कफ़्लो
हर अनजान की शत्रुतापूर्ण नहीं होती। कार्रवाई से पहले इन सामान्य स्थितियों पर विचार करें:
- ऐसा डिवाइस जो अब उपयोग नहीं होता। पुराने लैपटॉप या कार्य मशीन पर की अब भी पंजीकृत हो सकती है। अगर डिवाइस आपके पास है, तो मिलान की पुष्टि कर सकते हैं; नहीं है तो हटाना आमतौर पर सही कदम है।
- साझा या टीम मशीन। किसी और ने वैध उद्देश्य से की जोड़ी हो सकती है। हटाने से पहले मालिक से पुष्टि करें।
- डिप्लॉयमेंट या ऑटोमेशन सेटअप। अगर की किसी निर्धारित प्रक्रिया द्वारा उपयोग हो रही है, तो हटाने से वह प्रक्रिया रुक सकती है। पहले निर्भरता पहचानें।
- ऐसी की जो आपने बनाई और भूल गए। शीर्षक और निर्माण तिथियाँ अक्सर याद दिला देती हैं। अगर इसे अपने पुराने सेटअप से मिला सकें, तो हटाने के बजाय रखने या बदलने का विकल्प चुन सकते हैं।
संदेह होने पर सुरक्षित क्रम है: पहचानें, फिर अपने नियंत्रण वाली की से बदलें, फिर पुरानी प्रविष्टि हटाएँ। इससे अनजान पाथ बंद करते समय काम करता रास्ता बना रहता है।
यह प्रक्रिया क्या नहीं करती
SSH की हटाना एक लक्षित कार्रवाई है, पूरा अकाउंट सफाई नहीं। यह नहीं करता:
- OAuth एप्लिकेशन या अन्य अधिकृत इंटीग्रेशन रद्द करना;
- रिपॉज़िटरी से डिप्लॉय की हटाना;
- यह साबित करना कि की किसने और क्यों बनाई;
- यह पुष्टि करना कि कोई अन्य एक्सेस पाथ मौजूद नहीं है।
इनमें से हर एक को अलग जाँच मानें। ऑडिट छोटे, सत्यापन योग्य कदमों का समूह है, एक ही स्विच नहीं।
यूज़रनेम लुकअप कहाँ फिट बैठता है, और कहाँ नहीं
सार्वजनिक यूज़रनेम खोज आपको यह देखने में मदद कर सकती है कि कोई ज्ञात हैंडल सार्वजनिक प्लेटफ़ॉर्म पर किन चीज़ों से जुड़ा दिखता है। यह तब उपयोगी संदर्भ है जब आप किसी पहचान या ऑनलाइन फुटप्रिंट को समझने की कोशिश कर रहे हों। यह GitHub अकाउंट सेटिंग्स देखने का तरीका नहीं है, और यह नहीं बता सकता कि SSH की किसकी है। TruthsSeek द्वारा कवर किया गया ऐप TraceSeek ज्ञात सार्वजनिक यूज़रनेम को 3,000+ प्लेटफ़ॉर्म पर जाँचता है और 20-30 सेकंड में पहला स्कैन देता है, पहला स्कैन मुफ़्त है। यह GitHub सेटिंग्स संचालित नहीं करता, और सार्वजनिक मिलान एक सुराग है, मालिकाना का सबूत नहीं।
क्रेडेंशियल सुरक्षित रूप से संभालना
निजी की, टोकन, या पूरा क्रेडेंशियल कभी चैट, इश्यू, स्क्रीनशॉट, या फ़ोरम पोस्ट में प्रकाशित न करें। अगर की पहचानने में मदद चाहिए, तो केवल गैर-गोपनीय विवरण जैसे उसका शीर्षक या दिखने वाला फिंगरप्रिंट साझा करें, और केवल किसी विश्वसनीय व्यक्ति के साथ। अगर आपको संदेह है कि की उजागर हुई है, तो उसे अकाउंट से हटाना एक कदम है; उस पर निर्भर किसी भी चीज़ को रोटेट करना एक अलग निर्णय है जिसे आपको सोच-समझकर लेना चाहिए।