Gdzie znajduje się lista autoryzacji
GitLab przechowuje aplikacje, którym udzieliłeś autoryzacji, na jednej liście na poziomie konta. Otwórz ustawienia profilu, następnie Edytuj profil, potem Dostęp, a na końcu Aplikacje. Ta strona to Twój inwentarz OAuth: pokazuje aplikacje zewnętrzne, które mogą działać w Twoim imieniu, oraz zakresy uprawnień (scopes), jakie każda z nich posiada.
GitLab wymienia autoryzowane aplikacje w sekcji Edytuj profil, Dostęp, Aplikacje. Źródło
To nie to samo co tokeny dostępu do projektów (project access tokens) ani klucze wdrożeniowe (deploy keys). Tamte poświadczenia są powiązane z repozytorium lub projektem; autoryzowane aplikacje są powiązane z Twoim kontem użytkownika i mogą obejmować swoim zasięgiem całe konto. Audytuj je osobno, aby czysta lista OAuth nie dawała fałszywego poczucia bezpieczeństwa co do poświadczeń projektowych.
Co mówią zakresy uprawnień
Zakresy uprawnień (scopes) opisują, jak daleko aplikacja może sięgać. Nie są one równoważne i nie zakładaj, że każda aplikacja ma dostęp tylko do odczytu. Aplikacja, która jedynie czyta Twój profil, to inne ryzyko niż ta z szerokim dostępem do API, która może zapisywać lub działać w obrębie Twojego konta.
Autoryzowanym aplikacjom można odebrać uprawnienia; ich zakresy mogą obejmować od odczytu profilu po szeroki dostęp do API. Źródło
Praktyczny wniosek: przeczytaj wiersz z zakresem uprawnień, zanim podejmiesz decyzję. Jeśli nie potrafisz wyjaśnić, dlaczego aplikacja potrzebuje dostępu, który posiada, to właśnie tę aplikację zakwestionuj w pierwszej kolejności.
Tabela decyzyjna dla każdej autoryzowanej aplikacji
| Co widzisz | Co to oznacza | Sugerowane działanie |
|---|---|---|
| Aplikacja, którą rozpoznajesz, zakres uprawnień pasuje do jej celu, nadal jej używasz | Oczekiwana autoryzacja | Zachowaj ją; zanotuj zakres uprawnień do późniejszego przeglądu |
| Aplikacja, którą rozpoznajesz, ale już jej nie używasz | Nieaktualna autoryzacja | Odbierz uprawnienia |
| Aplikacja, której w ogóle nie rozpoznajesz | Nieznana autoryzacja | Zbadaj sprawę przed odebraniem uprawnień; sprawdź, czy dodał ją współpracownik lub integracja |
| Aplikacja z szerokim zakresem API, którego nie potrafisz uzasadnić | Zbyt szeroki dostęp | Odbierz lub ogranicz uprawnienia; nie zakładaj, że dostęp jest tylko do odczytu |
| Aplikacja, którą podejrzewasz o przejęcie | Aktywne ryzyko | Odbierz uprawnienia niezwłocznie, a następnie przejrzyj aktywność na koncie |
Lista kontrolna do samodzielnego przeglądu
- Otwórz Edytuj profil, Dostęp, Aplikacje i wypisz każdą autoryzowaną aplikację.
- Dla każdej z nich zapisz jedną linię: co to jest, dlaczego ma dostęp i jaki jest jej zakres uprawnień.
- Odbierz uprawnienia wszystkiemu, czego nie potrafisz uzasadnić.
- Odbierz uprawnienia nieaktualnym aplikacjom, których już nie używasz.
- Sprawdź listę ponownie po kilku tygodniach; nowe autoryzacje mogą pojawić się bez zauważonego przez Ciebie monitu.
- Prowadź ten audyt oddzielnie od przeglądu tokenów dostępu do projektów.
Uczciwe ograniczenia
Odebranie uprawnień aplikacji kończy jej przyszły dostęp przez tę autoryzację. Nie sięga jednak do systemów samej aplikacji i nie usuwa danych już skopiowanych, wyeksportowanych lub zbuforowanych. Jeśli aplikacja zapisała informacje z Twojego profilu, odebranie uprawnień nie jest żądaniem usunięcia danych. Traktuj odebranie uprawnień jak zamknięcie drzwi, a nie jak sprzątanie pokoju.
Odebranie uprawnień nie sprawia też, że Twój profil GitLab staje się prywatny. Widoczność profilu i autoryzacja aplikacji to osobne ustawienia; zmiana jednego nie zmienia drugiego.
Po odebraniu uprawnień
Twój publiczny ślad jest szerszy niż lista OAuth jednej platformy. Wiedza o tym, które nazwy użytkownika są publicznie widoczne, pomaga zdecydować, gdzie szukać dalej. TraceSeek sprawdza nazwę użytkownika na 3 000+ platformach i zwraca publiczne dopasowania w 20–30 sekund, z darmowym pierwszym skanem i bez konieczności rejestracji. Te dopasowania to tropy, a nie dowód tożsamości, a aplikacja nie zmienia ustawień platform ani nie widzi informacji prywatnych. Aby przeprowadzić szerszy przegląd, zobacz znajdź zapomniane konta online; aby dowiedzieć się, jak interpretowane są wyniki, przeczytaj naszą metodologię.
Kluczowe fakty
- GitLab wymienia autoryzowane aplikacje w sekcji Edytuj profil, Dostęp, Aplikacje.
- Autoryzowanym aplikacjom można odebrać uprawnienia, a ich zakresy mogą obejmować od odczytu profilu po szeroki dostęp do API.
- Odebranie uprawnień autoryzowanej aplikacji nie usuwa danych, które aplikacja już skopiowała.
- Autoryzowane aplikacje to autoryzacje na poziomie konta, odrębne od tokenów dostępu do projektów.
- TraceSeek sprawdza nazwę użytkownika na 3 000+ platformach i zwraca publiczne dopasowania w 20–30 sekund.