Co faktycznie rejestruje odznaka
Odznaka zweryfikowanego commita to wynik sprawdzenia podpisu, a nie referencja charakteru. Gdy widzisz „Verified” obok commita na GitHub, platforma przekazuje ci jedną wąską informację: sprawdziła podpis kryptograficzny dołączony do tego commita i sprawdzenie zakończyło się powodzeniem.
GitHub oznacza podpisany commit jako Verified, gdy jego podpis zostanie pomyślnie zweryfikowany. Źródło
Odznaka jest przypisana do commita, a nie do osoby. Nie jest też bieżącym wskaźnikiem bezpieczeństwa konta, na które dziś patrzysz. Wynik weryfikacji to historyczny zapis sprawdzenia, które miało miejsce w określonym momencie.
Po zarejestrowaniu weryfikacji zapis może pozostać nawet po unieważnieniu lub wygaśnięciu klucza podpisującego. Źródło
Ta trwałość ma znaczenie dla badaczy. Odznaka może pozostać widoczna na starym commicie nawet po unieważnieniu lub wygaśnięciu klucza podpisującego, który ją utworzył. Unieważniony klucz nie usuwa wstecznie odznaki, a wygasły klucz nie czyni starego commita niezweryfikowanym. Odznaka mówi więc, że podpis został sprawdzony w momencie rejestracji, a nie że klucz jest nadal zaufany, że konto jest nadal bezpieczne lub że obecny posiadacz konta to ta sama osoba, która podpisała.
Krok 1: Oddziel trzy pytania
Gdy ktoś wskazuje zweryfikowany commit jako dowód twierdzenia dewelopera, zwykle miesza trzy różne pytania. Rozdziel je, zanim cokolwiek ocenisz.
| Pytanie | Co może pokazać zweryfikowana odznaka | Czego nie może pokazać sama w sobie |
|---|---|---|
| Czy ten commit został podpisany i zweryfikowany? | GitHub zarejestrował pomyślną weryfikację podpisu dla tego commita. | Kto napisał kod lub czy kod jest dobry. |
| Kto obecnie kontroluje konto? | Nic bezpośrednio. Odznaka jest powiązana z commitem, a nie z bieżącą kontrolą logowania. | Czy ta sama osoba nadal posiada konto lub czy konto zmieniło właściciela. |
| Czy ta osoba jest tym, za kogo się podaje, lub czy pracuje tam, gdzie twierdzi? | Nic bezpośrednio. | Tożsamość, zatrudnienie lub upoważnienie do wypowiadania się w imieniu organizacji. |
Zweryfikowana odznaka odpowiada tylko na pierwszy wiersz. Drugi i trzeci wiersz wymagają odrębnych dowodów. To ta sama dyscyplina, którą opisujemy w naszym przewodniku co publiczne wyszukiwanie profilu może, a czego nie może ujawnić o osobie: publiczny artefakt to trop, a nie wniosek.
Krok 2: Czytaj commit, nie tylko odznakę
Odznaka to skrót, a skróty ukrywają kontekst. Otwórz sam commit i sprawdź, co otacza wynik weryfikacji.
- Pole autora commita i pole commitera. To wpisy metadanych, a nie dowód, kto wpisał kod. W wielu przepływach pracy można je ustawić na dowolną wartość.
- Wyświetlany klucz podpisujący. GitHub wiąże wynik weryfikacji z kluczem. Zwróć uwagę, czy klucz jest przedstawiany jako należący do konta, organizacji czy bota.
- Repozytorium i gałąź. Zweryfikowany commit w osobistym forku ma mniejszą wagę organizacyjną niż ten scalony z utrzymywanym projektem, ale żaden z nich nie dowodzi zatrudnienia.
- Data. Stary zweryfikowany commit to historyczny punkt danych. Nie mówi nic o obecnym stanie bezpieczeństwa konta.
Żadne z tych pól, pojedynczo ani razem, nie ustala, że posiadacz konta to osoba wymieniona w biografii lub że osoba pracuje tam, gdzie według profilu pracuje.
Krok 3: Sprawdź bieżącą kontrolę konta osobno
Zweryfikowany commit to zapis o commicie. Kontrola konta to odrębne pytanie, na które publiczne strony rzadko odpowiadają bezpośrednio. Możesz szukać spójności i ciągłości.
- Porównaj publiczną historię konta w czasie. Długa, spójna historia wkładu to trop, a nie dowód.
- Szukaj tego samego uchwytu lub nazwy wyświetlanej na innych platformach. Zgodne uchwyty to trop. Nie są dowodem, że konta należą do tej samej osoby, ponieważ uchwyty nie są unikalne między platformami i mogą być ponownie użyte lub zajęte.
- Traktuj tekst profilu, awatary i biografie jako twierdzenia posiadacza konta, a nie jako zweryfikowane fakty.
Jeśli ktoś przedstawia zweryfikowaną odznakę jako dowód, że obecnie kontroluje konto, to błąd kategorii. Odznaka nie mierzy bieżącego bezpieczeństwa logowania i nie potwierdza, że osoba, która do ciebie mówi, jest posiadaczem konta.
Krok 4: Szukaj niezależnych dowodów
Niezależny dowód to wszystko, co nie pochodzi z tego samego konta, które zgłasza twierdzenie. Przykłady obejmują własną opublikowaną listę członków zespołu organizacji, listę prelegentów na stronie konferencji lub repozytorium utrzymywane na koncie organizacyjnym z własnym publicznym zapisem. Nawet one są potwierdzeniem, a nie dowodem tożsamości. Twoim zadaniem jest zdecydować, jaką wagę deserves kombinacja, a nie ogłaszać pewność.
Tabela decyzyjna: jaką wagę przywiązać do zweryfikowanej odznaki
| Sytuacja | Rozsądna interpretacja | Pozostała niepewność |
|---|---|---|
| Odznaka obecna, klucz nadal powiązany z kontem, niedawny commit | Podpis został zweryfikowany, a powiązanie klucza jest aktualne. | Nie dowodzi, że osoba kontroluje konto lub napisała kod. |
| Odznaka obecna, klucz unieważniony lub wygasły | Weryfikacja została zarejestrowana, gdy miała miejsce. | Nie mówi nic o obecnym zaufaniu do klucza lub bezpieczeństwie konta. |
| Odznaka obecna tylko na starych commitach | Historyczny zapis weryfikacji. | Brak implikacji co do obecnej aktywności lub kontroli. |
| Brak odznaki | Brak zweryfikowanego podpisu na tym commicie. | Brak nie jest dowodem winy; wiele legalnych przepływów pracy nie podpisuje każdego commita. |
| Odznaka plus zgodny uchwyt gdzie indziej | Trop wart zbadania. | Uchwyty nie są unikalne; konta mogą należeć do różnych osób. |
| Odznaka plus wzmianka w profilu organizacji | Potwierdzenie możliwej przynależności. | Nie dowodzi zatrudnienia ani upoważnienia do wypowiadania się w imieniu organizacji. |
Częste błędy
- Traktowanie odznaki jako sprawdzenia tożsamości. To wynik podpisu, a nie sprawdzenie przeszłości.
- Zakładanie, że historyczna odznaka dowodzi obecnego bezpieczeństwa konta. Zapis może pozostać po unieważnieniu lub wygaśnięciu klucza, więc odznaka nie jest bieżącym wskaźnikiem statusu.
- Mylenie metadanych autora i commitera z autorstwem. Te pola to twierdzenia w obiekcie commita, a nie zweryfikowane fakty o tym, kto napisał kod.
- Traktowanie zgodnych uchwytów jako dowodu jednej osoby. Ten sam uchwyt na dwóch platformach to trop. Nie jest dowodem, że konta należą do tej samej osoby.
- Odczytanie odznaki na forku jako poparcia organizacyjnego. Zweryfikowany commit w osobistym forku nie ustala, że organizacja sprawdziła lub poparła pracę.
- Zakładanie, że niepodpisany commit jest podejrzany. Wielu legalnych współtwórców i przepływów pracy nie podpisuje każdego commita.
Lista kontrolna do samodzielnej weryfikacji
Zanim powtórzysz twierdzenie dewelopera oparte na zweryfikowanej odznace, przejdź tę listę.
- Czy otworzyłem commit i zanotowałem autora, commitera, klucz, repozytorium i datę?
- Czy oddzieliłem „podpis zweryfikowany” od „kontroli konta” i od „tożsamości lub zatrudnienia”?
- Czy sprawdziłem, czy klucz jest nadal powiązany z kontem, czy zapis może pozostać po unieważnieniu lub wygaśnięciu?
- Czy szukałem co najmniej jednego źródła, które nie pochodzi z tego samego konta?
- Czy opisałem zgodne uchwyty jako trop, a nie jako dowód jednej osoby?
- Czy uniknąłem twierdzenia, że odznaka dowodzi obecnego bezpieczeństwa, autorstwa lub zatrudnienia?
Ochrona własnego śladu
Jeśli podpisujesz commity, pamiętaj, że zweryfikowana odznaka to zapis, który po sobie zostawiasz. Może przetrwać klucz, który ją utworzył. Zanim unieważnisz lub wymienisz klucz podpisujący, zdecyduj, jak chcesz, aby stare commity były odczytywane, i prowadź własne notatki o tym, które klucze były używane kiedy. Jeśli utrzymujesz publiczne profile, przejrzyj używane uchwyty i sprawdź, czy stare konta nadal na ciebie wskazują. Wyszukiwanie nazw użytkowników, takie jak TraceSeek, może pomóc ci przejrzeć własne znane publiczne uchwyty na 3,000+ platformach; pierwsze skanowanie jest bezpłatne i nie wymaga rejestracji ani logowania, a wyniki są zwykle zwracane w 20–30 sekund. Traktuj wynik jako listę tropów do przeglądu, a nie jako weryfikację tożsamości. TraceSeek nie zmienia ustawień platform, nie gwarantuje dopasowania i nie weryfikuje niczyjej tożsamości. Jak ujmujemy dowody i ograniczenia, zobacz w naszej metodologii.
Kluczowe fakty
- GitHub oznacza podpisany commit jako Verified, gdy jego podpis zostanie pomyślnie zweryfikowany.
- Po zarejestrowaniu weryfikacji zapis może pozostać nawet po unieważnieniu lub wygaśnięciu klucza podpisującego.
- Odznaka zweryfikowanego commita to wynik podpisu dla konkretnego commita, a nie dowód bieżącej kontroli konta lub tożsamości.
- Zgodne publiczne identyfikatory między platformami to tropy, a nie dowód, że konta należą do tej samej osoby.
- TraceSeek obejmuje 3,000+ platform i oferuje bezpłatne pierwsze skanowanie bez rejestracji i logowania.