Cosa significa realmente una chiave SSH non riconosciuta
Una chiave SSH elencata su un account GitHub è una credenziale che può autenticarsi come quell’account. Vederne una che non riconosci è un motivo per indagare, non una conclusione. La chiave potrebbe appartenere a un dispositivo che hai dimenticato, alla configurazione di un ex membro del team, a un vecchio portatile o a qualcosa che non hai autorizzato. L’approccio sicuro è identificare il proprietario e lo scopo prima di eliminare qualsiasi cosa, perché rimuovere una chiave usata da un flusso di lavoro legittimo interromperà quel flusso.
GitHub tratta diverse cose come percorsi di accesso separati. Una chiave SSH personale, una deploy key associata a un repository e un’applicazione OAuth autorizzata sono meccanismi diversi con ambiti diversi. Controllarne uno non controlla gli altri.
GitHub raccomanda di controllare chiavi SSH, deploy key e applicazioni autorizzate come percorsi di accesso separati. Fonte
Checklist prima e dopo
Usa questo come elenco di lavoro. La colonna “prima” riguarda la raccolta di fatti; la colonna “dopo” riguarda la conferma del risultato.
| Fase | Verifica | Perché è importante |
|---|---|---|
| Prima | Elenca ogni chiave SSH mostrata sull’account, con il suo titolo e qualsiasi fingerprint o dettaglio di creazione visibile | Hai bisogno di un quadro completo prima di decidere quale voce è sconosciuta |
| Prima | Abbina ogni chiave a un dispositivo o una persona che puoi nominare | Una chiave senza nome è quella da mettere in discussione |
| Prima | Chiediti se qualche flusso di lavoro attuale dipende dalla chiave (build, deployment, una macchina condivisa) | Eliminare una chiave in uso attivo interrompe quel flusso |
| Prima | Verifica se lo stesso accesso è concesso anche tramite deploy key o applicazioni autorizzate | Questi sono percorsi separati e richiedono una propria revisione |
| Prima | Decidi la disposizione: mantenere, sostituire o eliminare | Una chiave obsoleta potrebbe richiedere una sostituzione anziché una semplice rimozione |
| Dopo | Conferma che la chiave non appaia più nell’elenco delle chiavi SSH dell’account | L’elenco visibile è la tua prima conferma |
| Dopo | Conferma che il flusso di lavoro interessato funzioni ancora, o che hai un percorso sostitutivo | La rimozione non dovrebbe lasciare un processo legittimo bloccato |
| Dopo | Annota cosa hai rimosso e quando, senza registrare il materiale della chiave stesso | Una registrazione aiuta i controlli futuri |
Rimuovere una chiave SSH dell’account
La rimozione stessa avviene nelle impostazioni dell’account. Il percorso documentato da GitHub è Impostazioni, poi Chiavi SSH e GPG, dove puoi rivedere le chiavi SSH dell’account ed eliminare quelle non riconosciute o obsolete.
In Impostazioni, Chiavi SSH e GPG, rivedi le chiavi SSH dell’account ed elimina quelle non riconosciute o obsolete. Fonte
Mantieni l’ambito ristretto. Questo passaggio rimuove una chiave SSH dell’account. Non rimuove le deploy key, non revoca le applicazioni autorizzate e non modifica i contenuti del repository. Se il tuo controllo ha trovato problemi in quelle aree, gestiscili come attività separate.
Flussi di lavoro legittimi da considerare prima di eliminare
Non ogni chiave sconosciuta è ostile. Considera queste situazioni comuni prima di agire:
- Un dispositivo che non usi più. Un vecchio portatile o una macchina da lavoro potrebbe avere ancora una chiave registrata. Se possiedi ancora il dispositivo, puoi confermare la corrispondenza; in caso contrario, l’eliminazione è di solito la scelta giusta.
- Una macchina condivisa o del team. Qualcun altro potrebbe aver aggiunto una chiave per uno scopo legittimo. Conferma con il proprietario prima di rimuoverla.
- Una configurazione di deployment o automazione. Se una chiave è usata da un processo pianificato, eliminarla può fermare quel processo. Identifica prima la dipendenza.
- Una chiave che hai creato e dimenticato. I titoli e le date di creazione spesso rinfrescano la memoria. Se riesci ad abbinarla a una tua configurazione passata, puoi scegliere di mantenerla o sostituirla anziché eliminarla.
In caso di dubbio, la sequenza più sicura è identificare, poi sostituire con una chiave che controlli, quindi rimuovere la vecchia voce. Questo mantiene un percorso funzionante mentre chiudi quello sconosciuto.
Cosa non fa questo processo
Rimuovere una chiave SSH è un’azione mirata, non una pulizia completa dell’account. Non:
- revoca applicazioni OAuth o altre integrazioni autorizzate;
- rimuove le deploy key dai repository;
- prova chi ha creato la chiave o perché;
- conferma che non esista nessun altro percorso di accesso.
Tratta ciascuno di questi come un controllo separato. Un controllo è un insieme di piccoli passaggi verificabili, non un interruttore unico.
Dove si inserisce una ricerca di username, e dove no
Una ricerca pubblica di username può aiutarti a vedere a cosa sembra essere associato un handle noto attraverso piattaforme pubbliche. È un contesto utile quando cerchi di capire un’identità o un’impronta online. Non è un modo per ispezionare le impostazioni dell’account GitHub e non può dirti chi possiede una chiave SSH. TraceSeek, l’app trattata da TruthsSeek, controlla username pubblici noti su oltre 3.000 piattaforme e restituisce una prima scansione in 20-30 secondi, con la prima scansione gratuita. Non opera sulle impostazioni di GitHub, e una corrispondenza pubblica è un indizio, non prova di proprietà.
Gestire le credenziali in sicurezza
Non pubblicare mai una chiave privata, un token o una credenziale completa in una chat, issue, screenshot o post di un forum. Se hai bisogno di aiuto per identificare una chiave, condividi solo dettagli non segreti come il suo titolo o il fingerprint visibile, e solo con qualcuno di cui ti fidi. Se sospetti che una chiave sia stata esposta, rimuoverla dall’account è un passaggio; ruotare tutto ciò che dipendeva da essa è una decisione separata da prendere deliberatamente.