L’errore avviene al momento della copia
La maggior parte delle fughe di questo tipo non sono attacchi. Sono errori di copia-incolla fatti pochi minuti prima di pubblicare una bio, una pagina portfolio o una firma su un forum. La barra degli indirizzi del browser può mostrare l’indirizzo di un feed mentre la pagina che stai guardando ti sembra “la mia attività”, quindi l’URL che viene copiato è quello che autentica una richiesta, non quello che semplicemente indica il tuo profilo.
L’URL del feed attività personale di GitLab contiene un token che autentica la richiesta del feed. Fonte
È proprio questo il motivo per cui il controllo è importante: il token non è un segreto separato che puoi revocare in seguito in modo isolato. È incorporato nel link, e il link è ciò che stai per pubblicare.
Un URL del profilo pubblico e un URL del feed attività autenticato hanno scopi diversi. Fonte
Considera questa frase come la regola decisionale per il resto della guida. Se l’URL che hai in mano potrebbe essere usato per recuperare contenuti privati del feed, non è un link al profilo, indipendentemente da come appare.
Passo 1: Identifica quale tipo di link hai in mano
Non hai bisogno di capire il formato del token per prendere la decisione. Devi sapere quale pagina ha prodotto l’URL. Usa la tabella qui sotto come lista di controllo prima di incollare qualsiasi cosa in pubblico.
| Cosa hai copiato | Segno tipico | Sicuro per il pubblico? | Cosa fare |
|---|---|---|---|
| URL della pagina del profilo | Apre il tuo profilo quando sei disconnesso | Sì, se il profilo stesso è pubblico | Usa questo |
| URL del feed attività | Contiene un lungo segmento token e restituisce dati del feed | No | Scartalo; non incollarlo, accorciarlo o farne uno screenshot |
| Un link da una pagina di impostazioni o token | Eri in un’area autenticata quando hai copiato | Trattalo come privato | Sostituiscilo con l’URL del profilo |
| Un link che ti ha inviato qualcun altro | Origine sconosciuta | Non verificato | Aprilo da disconnesso prima di fidarti |
Due limiti vanno detti chiaramente. Primo, questa tabella è una routine di ispezione editoriale, non una funzione della piattaforma; GitLab non etichetta i link per te. Secondo, un URL che si apre bene nel tuo browser connesso non dimostra nulla, perché la tua sessione potrebbe fornire un accesso che un estraneo non avrebbe.
Un test pratico che non espone nulla: apri il link candidato in una finestra privata in cui non hai effettuato l’accesso. Se ti chiede di autenticarti, o restituisce contenuti del feed che non vorresti far leggere a un estraneo, fermati e torna alla pagina del tuo profilo per copiare di nuovo l’indirizzo. Non incollare l’URL che fallisce il test in una chat, in un ticket o in un post pubblico per “controllarlo”.
Passo 2: Sostituiscilo con l’URL del profilo pubblico
Una volta deciso che un link è del tipo sbagliato, la sostituzione è l’azione sicura. La sequenza seguente tiene l’URL privato fuori da ogni luogo intermedio in cui potrebbe essere memorizzato.
- Chiudi la scheda che mostra il feed o l’indirizzo contenente il token senza copiarlo di nuovo.
- Vai al tuo profilo nel modo normale, attraverso l’interfaccia del sito anziché un segnalibro salvato per il feed.
- Conferma che il profilo è quello che intendi pubblicare e che la sua visibilità è quella che ti aspetti.
- Copia l’indirizzo solo dalla pagina del profilo.
- Incollalo prima in un editor di testo semplice, non direttamente nel campo della bio, così puoi esaminare l’intera stringa prima che vada ovunque.
- Controlla la stringa incollata rispetto alla tabella sopra. Se qualche parte sembra una lunga credenziale anziché un nome o un percorso, scartala e ripeti dal passo 2.
- Incolla l’URL del profilo verificato nella bio, poi visualizza l’anteprima della bio come la vedrebbe un visitatore disconnesso.
Il passo 5 non è una formalità. I campi della bio, gli editor di testo formattato e le anteprime dei link possono memorizzare o recuperare ciò che incolli, e un recupero di anteprima di un URL contenente un token è un altro luogo in cui il link è passato.
Passo 3: Decidi se il feed stesso dovrebbe essere visibile
Un link al profilo e un link al feed sono questioni separate. Puoi avere un URL del profilo perfettamente sicuro e comunque non sentirti a tuo agio con quanto rivela la tua attività. Questa è una decisione sulla visibilità, non sul formato del link, e va presa prima di pubblicare qualsiasi cosa che indirizzi le persone verso il tuo profilo.
Il feed personale include l’attività dei progetti di cui sei membro indipendentemente dalla scheda attività o dal filtro selezionato. Fonte
Questo conta per la valutazione: se conti su una scheda o un filtro per tenere fuori dalla vista una certa attività, il comportamento del feed descritto sopra significa che il filtro non è un confine di privacy. Decidi se il feed nel suo complesso è accettabile, invece di presumere che una vista più ristretta ti protegga.
Se concludi che non è accettabile, il passo successivo è rivedere ciò che rimane visibile pubblicamente dopo aver modificato la visibilità del profilo, non solo cambiare un’impostazione e andare avanti. Un seguito pertinente è la guida su rendere privato il tuo profilo GitLab e controllare cosa rimane pubblico, che affronta il lato della visibilità di questa decisione.
Se il link è già stato condiviso
Agisci presupponendo che tutto ciò che è stato pubblicato pubblicamente possa essere stato copiato, memorizzato nella cache o indicizzato, anche se lo elimini un minuto dopo. Eliminare un post non richiama le copie che altri o sistemi automatizzati hanno già fatto, e questa guida non fingerà il contrario.
Usa i controlli autorizzati del sito per i token e l’account, o i suoi canali di supporto, per gestire una credenziale che è stata esposta. Il percorso esatto del menu e le opzioni di recupero disponibili non sono stabiliti dal materiale qui esaminato, quindi controllali nel tuo account invece di seguire una sequenza ricordata da un’interfaccia precedente. Non incollare l’URL esposto in una issue pubblica, in un post sui social in cui chiedi aiuto o in un sito di terze parti; descrivi il problema senza riprodurre il link.
Dopo aver agito tramite il percorso autorizzato, ricontrolla i luoghi in cui hai pubblicato: campi della bio su ogni sito, firme, pagine portfolio, post fissati e qualsiasi documento che hai condiviso. Sostituisci ogni occorrenza con l’URL del profilo e annota i luoghi che non hai potuto modificare.
Dove si inserisce una ricerca per username, e dove si ferma
Se la tua preoccupazione è quanto un handle venga riutilizzato su più siti, una ricerca per username può far emergere corrispondenze pubbliche da esaminare. TraceSeek copre 3.000+ piattaforme e offre una prima scansione gratuita che, secondo il prodotto, richiede 20-30 secondi. Questo è un passo di generazione di contatti, non una prova di proprietà: un handle corrispondente su un altro sito può appartenere a qualcun altro, e una ricerca non è un inventario completo di ogni account.
Ciò che una ricerca non può fare è dirti se uno specifico URL che hai copiato contiene una credenziale. Quel giudizio deriva dall’ispezione del Passo 1. Tieni separate le due attività: usa la ricerca per trovare profili pubblici che vale la pena esaminare, e usa il controllo del tipo di link per decidere cosa è sicuro pubblicare.
Lista di controllo rapida prima di incollare
- Ho copiato l’URL dalla pagina del mio profilo, non da un feed, da impostazioni o da una pagina di token.
- L’intera stringa non contiene alcun segmento lungo simile a una credenziale.
- Il link si apre come previsto in una finestra privata senza sessione.
- L’ho incollato in un editor di testo semplice prima del campo della bio.
- Ho visualizzato l’anteprima della bio come la vedrebbe un visitatore disconnesso.
- Ho deciso se il feed attività nel suo complesso è accettabile da esporre.
- Se ho già condiviso un link al feed, ho usato i controlli autorizzati dell’account o il supporto e non ho ripubblicato il link.
- Ho ricontrollato ogni luogo in cui appariva il vecchio link.
Se una casella non è spuntata, l’impostazione predefinita sicura è non pubblicare nulla e tornare alla pagina del profilo per una nuova copia.