Hata kopyalama anında başlar
Bu tür sızıntıların çoğu saldırı değildir. Bir biyografi, portföy sayfası veya forum imzası yayınlanmadan dakikalar önce yapılan kopyala-yapıştır hatalarıdır. Tarayıcı adres çubuğu bir akış adresi gösterirken baktığınız sayfa “benim etkinliğim” gibi hissettirebilir; bu yüzden kopyalanan URL, profilinizi adlandıran değil, bir isteği kimlik doğrulayan URL olur.
GitLab kişisel etkinlik akışı URL’si, akış isteğini kimlik doğrulayan bir token içerir. Kaynak
Bu kontrolün önemli olmasının tek nedeni budur: token, daha sonra tek başına iptal edebileceğiniz ayrı bir sır değildir. Bağlantının içine gömülüdür ve yayınlamak üzere olduğunuz şey o bağlantıdır.
Herkese açık profil URL’si ile kimlik doğrulamalı etkinlik akışı URL’si farklı amaçlara hizmet eder. Kaynak
Bu cümleyi bu kılavuzun geri kalanı için karar kuralı olarak kabul edin. Elinizdeki URL özel akış içeriğini getirmek için kullanılabiliyorsa, ne kadar öyle görünürse görünsün, o bir profil bağlantısı değildir.
Adım 1: Hangi bağlantı türünü tuttuğunuzu belirleyin
Kararı vermek için token biçimini anlamanız gerekmez. URL’yi hangi sayfanın ürettiğini bilmeniz gerekir. Herhangi bir şey herkese açık olarak yapıştırılmadan önce aşağıdaki tabloyu bir inceleme kontrol listesi olarak kullanın.
| Kopyaladığınız şey | Tipik işaret | Herkese açık kullanıma uygun mu? | Ne yapmalı |
|---|---|---|---|
| Profil sayfası URL’si | Oturum açmadan profilinizi açar | Evet, profil herkese açıksa | Bunu kullanın |
| Etkinlik akışı URL’si | Uzun bir token bölümü içerir ve akış verisi döndürür | Hayır | Atın; yapıştırmayın, kısaltmayın veya ekran görüntüsünü almayın |
| Ayarlar veya token sayfasından alınan bağlantı | Kopyaladığınızda kimlik doğrulamalı bir alandaydınız | Özel olarak değerlendirin | Profil URL’siyle değiştirin |
| Başkasının size gönderdiği bağlantı | Kaynağı bilinmiyor | Doğrulanmamış | Güvenmeden önce oturum açmadan açın |
İki sınırı açıkça belirtmek gerekir. Birincisi, bu tablo bir platform özelliği değil, editoryal bir inceleme rutinidir; GitLab sizin için bağlantıları etiketlemez. İkincisi, kendi oturum açmış tarayıcınızda sorunsuz açılan bir URL hiçbir şey kanıtlamaz, çünkü oturumunuz bir yabancının sahip olmayacağı erişimi sağlıyor olabilir.
Hiçbir şeyi açığa çıkarmayan pratik bir test: aday bağlantıyı oturum açmadığınız özel bir pencerede açın. Sizden kimlik doğrulama isterse veya bir yabancının okumasını istemeyeceğiniz akış içeriği döndürürse durun ve adresi yeniden kopyalamak için profil sayfanıza dönün. Başarısız URL’yi “kontrol etmek” için bir sohbete, bir destek talebine veya herkese açık bir gönderiye yapıştırmayın.
Adım 2: Herkese açık profil URL’siyle değiştirin
Bir bağlantının yanlış türde olduğuna karar verdikten sonra değiştirmek güvenli eylemdir. Aşağıdaki sıra, özel URL’yi saklanabileceği her ara yerden uzak tutar.
-
Akışı veya token içeren adresi gösteren sekmeyi tekrar kopyalamadan kapatın.
-
Profilinize olağan yoldan, akışa kaydedilmiş bir yer imi yerine site arayüzü üzerinden gidin.
-
Profilin yayınlamak istediğiniz profil olduğunu ve görünürlüğünün beklediğiniz gibi olduğunu doğrulayın.
-
Adresi yalnızca profil sayfasından kopyalayın.
-
Doğrudan biyografi alanına değil, önce düz metin düzenleyiciye yapıştırın; böylece herhangi bir yere gitmeden önce tam dizeyi görebilirsiniz.
-
Yapıştırılan dizeyi yukarıdaki tabloyla karşılaştırın. Herhangi bir bölüm bir ad veya yol yerine uzun bir kimlik bilgisi gibi görünüyorsa atın ve 2. adımdan tekrarlayın.
-
Doğrulanmış profil URL’sini biyografiye yapıştırın, ardından biyografiyi oturum açmamış bir ziyaretçinin göreceği şekilde önizleyin.
-
adım bir tören değildir. Biyografi alanları, zengin metin düzenleyicileri ve bağlantı önizlemeleri yapıştırdığınız şeyi saklayabilir veya getirebilir; token içeren bir URL’nin önizleme getirmesi, bağlantının gittiği bir yer daha demektir.
Adım 3: Akışın kendisinin görünür olup olmaması gerektiğine karar verin
Profil bağlantısı ile akış bağlantısı ayrı sorulardır. Tamamen güvenli bir profil URL’niz olabilir ve yine de etkinliğinizin ne kadarını açığa çıkardığından rahatsız olabilirsiniz. Bu bir görünürlük kararıdır, bağlantı biçimi kararı değildir ve insanları profilinize yönlendiren herhangi bir şeyi yayınlamadan önce verilmelidir.
Kişisel akış, seçilen etkinlik sekmesi veya filtresinden bağımsız olarak üyelik projelerindeki etkinliği içerir. Kaynak
Bu, yargı kararı için önemlidir: belirli etkinlikleri görünümden uzak tutmak için bir sekmeye veya filtreye güveniyorsanız, yukarıda açıklanan akış davranışı filtrenin bir gizlilik sınırı olmadığı anlamına gelir. Daha dar bir görünümün sizi koruduğunu varsaymak yerine, akışın bir bütün olarak kabul edilebilir olup olmadığına karar verin.
Kabul edilebilir olmadığı sonucuna varırsanız, sonraki adım yalnızca bir ayarı değiştirip devam etmek değil, profil görünürlüğünü ayarladıktan sonra herkese açık olarak görünür kalanları gözden geçirmektir. İlgili bir devam kılavuzu, bu kararın görünürlük tarafını ele alan GitLab profilinizi gizli yapma ve herkese açık kalanları kontrol etme kılavuzudur.
Bağlantı zaten paylaşıldıysa
Bir dakika sonra silseniz bile, herkese açık yayınlanan herhangi bir şeyin kopyalanmış, önbelleğe alınmış veya dizinlenmiş olabileceği varsayımıyla hareket edin. Bir gönderiyi silmek, başkalarının veya otomatik sistemlerin zaten oluşturduğu kopyaları geri getirmez ve bu kılavuz aksini iddia etmeyecektir.
Açığa çıkmış bir kimlik bilgisiyle başa çıkmak için sitenin kendi yetkili token ve hesap kontrollerini veya destek kanallarını kullanın. Tam menü yolu ve mevcut kurtarma seçenekleri burada incelenen materyalle belirlenmemiştir; bu nedenle eski bir arayüzden hatırlanan bir sırayı izlemek yerine bunları hesabınızda kontrol edin. Açığa çıkan URL’yi herkese açık bir soruna, yardım isteyen bir sosyal medya gönderisine veya üçüncü taraf bir siteye yapıştırmayın; bağlantıyı yeniden üretmeden sorunu tanımlayın.
Yetkili yol aracılığıyla harekete geçtikten sonra yayınladığınız yerleri yeniden kontrol edin: her sitedeki biyografi alanları, imzalar, portföy sayfaları, sabitlenmiş gönderiler ve paylaştığınız herhangi bir belge. Her oluşumu profil URL’siyle değiştirin ve düzenleyemediğiniz yerleri not edin.
Kullanıcı adı aramasının yeri ve sınırı
Endişeniz bir kullanıcı adının siteler arasında ne kadar yaygın kullanıldığıysa, bir kullanıcı adı araması incelemeye değer herkese açık eşleşmeleri ortaya çıkarabilir. TraceSeek 3.000+ platformu kapsar ve ürüne göre 20-30 saniye süren ücretsiz bir ilk tarama sunar. Bu bir potansiyel müşteri oluşturma adımıdır, sahiplik kanıtı değildir: başka bir sitedeki eşleşen kullanıcı adı başka birine ait olabilir ve bir arama her hesabın tam envanteri değildir.
Bir aramanın yapamayacağı şey, kopyaladığınız belirli bir URL’nin bir kimlik bilgisi içerip içermediğini size söylemektir. Bu yargı, Adım 1’deki incelemeden gelir. İki görevi ayrı tutun: incelemeye değer herkese açık profilleri bulmak için aramayı kullanın ve neyin yayınlanmasının güvenli olduğuna karar vermek için bağlantı türü kontrolünü kullanın.
Yapıştırmadan önce hızlı kontrol listesi
- URL’yi bir akış, ayarlar veya token sayfasından değil, profil sayfamdan kopyaladım.
- Tam dizede uzun, kimlik bilgisi benzeri bir bölüm yok.
- Bağlantı, oturum olmadan özel bir pencerede beklendiği gibi açılıyor.
- Biyografi alanından önce düz metin düzenleyiciye yapıştırdım.
- Biyografiyi oturum açmamış bir ziyaretçi olarak önizledim.
- Etkinlik akışının bir bütün olarak açığa çıkarılmasının kabul edilebilir olup olmadığına karar verdim.
- Daha önce bir akış bağlantısı paylaştıysam, yetkili hesap kontrollerini veya desteği kullandım ve bağlantıyı yeniden paylaşmadım.
- Eski bağlantının göründüğü her yeri yeniden kontrol ettim.
Herhangi bir kutu işaretlenmemişse, güvenli varsayılan hiçbir şey yayınlamamak ve yeni bir kopya için profil sayfasına dönmektir.