Apa yang sebenarnya dicatat lencana
Lencana commit terverifikasi adalah hasil pemeriksaan tanda tangan, bukan referensi karakter. Saat Anda melihat “Verified” di samping commit di GitHub, platform memberi tahu satu hal sempit: ia memeriksa tanda tangan kriptografis yang terlampir pada commit itu dan pemeriksaan tersebut lolos.
GitHub menandai commit yang ditandatangani sebagai Verified ketika tanda tangannya berhasil diverifikasi. Sumber
Lencana melekat pada commit, bukan pada orang. Ini juga bukan indikator keamanan langsung untuk akun yang Anda lihat hari ini. Hasil verifikasi adalah catatan historis dari pemeriksaan yang terjadi pada suatu titik waktu.
Setelah verifikasi dicatat, catatan tersebut dapat bertahan bahkan setelah kunci penandatangan dicabut atau kedaluwarsa. Sumber
Ketahanan ini penting bagi penyelidik. Lencana dapat tetap terlihat pada commit lama bahkan setelah kunci penandatangan yang menghasilkannya dicabut atau kedaluwarsa. Kunci yang dicabut tidak menghapus lencana secara retroaktif, dan kunci yang kedaluwarsa tidak membuat commit lama menjadi tidak terverifikasi. Jadi lencana memberi tahu Anda bahwa tanda tangan cocok saat dicatat, bukan bahwa kunci masih dipercaya, bahwa akun masih aman, atau bahwa pemegang akun saat ini adalah orang yang sama yang menandatangani.
Langkah 1: Pisahkan tiga pertanyaan
Ketika seseorang menunjuk commit terverifikasi sebagai bukti klaim pengembang, mereka biasanya mencampur tiga pertanyaan berbeda. Pisahkan sebelum Anda mengevaluasi apa pun.
| Pertanyaan | Apa yang dapat ditunjukkan lencana terverifikasi | Apa yang tidak dapat ditunjukkan sendiri |
|---|---|---|
| Apakah commit ini ditandatangani dan diverifikasi? | GitHub mencatat verifikasi tanda tangan yang berhasil untuk commit tersebut. | Siapa yang menulis kode, atau apakah kode itu bagus. |
| Siapa yang mengendalikan akun sekarang? | Tidak ada secara langsung. Lencana terikat pada commit, bukan pada kontrol login saat ini. | Apakah orang yang sama masih memiliki akun, atau apakah akun berpindah tangan. |
| Apakah orang ini siapa yang mereka klaim, atau bekerja di tempat yang mereka klaim? | Tidak ada secara langsung. | Identitas, pekerjaan, atau otorisasi untuk berbicara atas nama organisasi. |
Lencana terverifikasi hanya menjawab baris pertama. Baris kedua dan ketiga memerlukan bukti terpisah. Ini adalah disiplin yang sama yang dijelaskan dalam panduan kami tentang apa yang dapat dan tidak dapat diungkapkan pencarian profil publik tentang seseorang: artefak publik adalah petunjuk, bukan kesimpulan.
Langkah 2: Baca commit, bukan hanya lencananya
Lencana adalah jalan pintas, dan jalan pintas menyembunyikan konteks. Buka commit itu sendiri dan lihat apa yang mengelilingi hasil verifikasi.
- Bidang penulis commit dan bidang committer. Ini adalah entri metadata, bukan bukti siapa yang mengetik kode. Mereka dapat diatur ke apa pun dalam banyak alur kerja.
- Kunci penandatangan yang ditampilkan. GitHub mengaitkan hasil verifikasi dengan kunci. Perhatikan apakah kunci disajikan sebagai milik akun, organisasi, atau bot.
- Repositori dan cabang. Commit terverifikasi di fork pribadi memiliki bobot organisasi lebih rendah daripada yang digabungkan ke proyek yang dipelihara, tetapi keduanya tidak membuktikan pekerjaan.
- Tanggal. Commit terverifikasi lama adalah titik data historis. Itu tidak mengatakan apa-apa tentang postur keamanan akun saat ini.
Tidak ada bidang ini, sendiri atau bersama-sama, menetapkan bahwa pemegang akun adalah orang yang disebutkan dalam biografi atau bahwa orang tersebut bekerja di tempat yang dikatakan profil.
Langkah 3: Periksa kontrol akun saat ini secara terpisah
Commit terverifikasi adalah catatan tentang commit. Kontrol akun adalah pertanyaan terpisah, dan halaman publik jarang menjawabnya secara langsung. Yang dapat Anda lakukan adalah mencari konsistensi dan kontinuitas.
- Bandingkan riwayat publik akun dari waktu ke waktu. Riwayat kontribusi yang panjang dan koheren adalah petunjuk, bukan bukti.
- Cari handle atau nama tampilan yang sama di platform lain. Handle yang cocok adalah petunjuk. Itu bukan bukti bahwa akun milik orang yang sama, karena handle tidak unik di seluruh platform dan dapat digunakan ulang atau diduduki.
- Perlakukan teks profil, avatar, dan biografi sebagai klaim yang dibuat pemegang akun, bukan sebagai fakta terverifikasi.
Jika seseorang menyajikan lencana terverifikasi sebagai bukti bahwa mereka saat ini mengendalikan akun, itu adalah kesalahan kategori. Lencana tidak mengukur keamanan login saat ini, dan tidak mengonfirmasi bahwa orang yang berbicara dengan Anda adalah pemegang akun.
Langkah 4: Cari bukti independen
Bukti independen adalah apa pun yang tidak berasal dari akun yang sama yang membuat klaim. Contohnya termasuk daftar anggota tim yang diterbitkan organisasi itu sendiri, daftar pembicara di situs konferensi, atau repositori yang dipelihara di bawah akun organisasi dengan catatan publiknya sendiri. Bahkan ini adalah korroborasi, bukan bukti identitas. Tugas Anda adalah memutuskan seberapa besar bobot kombinasi itu layak, bukan menyatakan kepastian.
Tabel keputusan: seberapa besar bobot yang diberikan pada lencana terverifikasi
| Situasi | Pembacaan yang wajar | Ketidakpastian yang tersisa |
|---|---|---|
| Lencana ada, kunci masih terkait dengan akun, commit terbaru | Tanda tangan diverifikasi dan asosiasi kunci saat ini. | Tidak membuktikan orang mengendalikan akun atau menulis kode. |
| Lencana ada, kunci dicabut atau kedaluwarsa | Verifikasi dicatat saat terjadi. | Tidak mengatakan apa-apa tentang kepercayaan kunci saat ini atau keamanan akun. |
| Lencana hanya ada pada commit lama | Catatan verifikasi historis. | Tidak ada implikasi tentang aktivitas atau kontrol saat ini. |
| Lencana tidak ada | Tidak ada tanda tangan terverifikasi pada commit itu. | Ketiadaan bukan bukti kesalahan; banyak alur kerja sah tidak menandatangani setiap commit. |
| Lencana plus handle yang cocok di tempat lain | Petunjuk yang layak diikuti. | Handle tidak unik; akun mungkin milik orang berbeda. |
| Lencana plus sebutan profil organisasi | Korroborasi kemungkinan afiliasi. | Tidak membuktikan pekerjaan atau otorisasi untuk berbicara atas nama organisasi. |
Kesalahan umum
- Menganggap lencana sebagai pemeriksaan identitas. Ini adalah hasil tanda tangan, bukan pemeriksaan latar belakang.
- Mengasumsikan lencana historis membuktikan keamanan akun saat ini. Catatan dapat bertahan setelah kunci dicabut atau kedaluwarsa, jadi lencana bukan lampu status langsung.
- Mengacaukan metadata penulis dan committer dengan kepenulisan. Bidang ini adalah klaim dalam objek commit, bukan fakta terverifikasi tentang siapa yang menulis kode.
- Menganggap handle yang cocok sebagai bukti satu orang. Handle yang sama di dua platform adalah petunjuk. Itu bukan bukti bahwa akun milik individu yang sama.
- Membaca lencana di fork sebagai dukungan organisasi. Commit terverifikasi di fork pribadi tidak menetapkan bahwa organisasi meninjau atau mendukung pekerjaan itu.
- Mengasumsikan commit yang tidak ditandatangani mencurigakan. Banyak kontributor dan alur kerja sah tidak menandatangani setiap commit.
Daftar periksa tinjauan mandiri
Sebelum Anda mengulangi klaim pengembang yang bergantung pada lencana terverifikasi, jalankan daftar periksa ini.
- Apakah saya membuka commit dan mencatat penulis, committer, kunci, repositori, dan tanggal?
- Apakah saya memisahkan “tanda tangan terverifikasi” dari “kontrol akun” dan dari “identitas atau pekerjaan”?
- Apakah saya memeriksa apakah kunci masih terkait dengan akun, atau apakah catatan mungkin bertahan setelah pencabutan atau kedaluwarsa?
- Apakah saya mencari setidaknya satu sumber yang tidak berasal dari akun yang sama?
- Apakah saya menggambarkan handle yang cocok sebagai petunjuk bukan sebagai bukti satu orang?
- Apakah saya menghindari klaim bahwa lencana membuktikan keamanan saat ini, kepenulisan, atau pekerjaan?
Melindungi jejak Anda sendiri
Jika Anda menandatangani commit, ingatlah bahwa lencana terverifikasi adalah catatan yang Anda tinggalkan. Itu bisa bertahan lebih lama dari kunci yang menghasilkannya. Sebelum Anda mencabut atau merotasi kunci penandatangan, putuskan bagaimana Anda ingin commit lama dibaca, dan simpan catatan Anda sendiri tentang kunci mana yang digunakan kapan. Jika Anda memelihara profil publik, tinjau handle yang pernah Anda gunakan dari waktu ke waktu dan periksa apakah akun lama masih menunjuk ke Anda. Pencarian nama pengguna seperti TraceSeek dapat membantu Anda meninjau handle publik yang Anda ketahui di 3.000+ platform; pemindaian pertama gratis dan tidak memerlukan registrasi atau login, dan hasil biasanya dikembalikan dalam 20–30 detik. Perlakukan output sebagai daftar petunjuk untuk ditinjau, bukan sebagai verifikasi identitas. TraceSeek tidak mengubah pengaturan platform, tidak menjamin kecocokan, dan tidak memverifikasi identitas siapa pun. Untuk bagaimana kami membingkai bukti dan batasan, lihat metodologi kami.
Fakta kunci
- GitHub menandai commit yang ditandatangani sebagai Verified ketika tanda tangannya berhasil diverifikasi.
- Setelah verifikasi dicatat, catatan dapat bertahan bahkan setelah kunci penandatangan dicabut atau kedaluwarsa.
- Lencana commit terverifikasi adalah hasil tanda tangan untuk commit tertentu, bukan bukti kontrol akun atau identitas saat ini.
- Pengenal publik yang cocok di seluruh platform adalah petunjuk, bukan bukti bahwa akun milik orang yang sama.
- TraceSeek mencakup 3.000+ platform dan menawarkan pemindaian pertama gratis tanpa registrasi atau login.