Що насправді фіксує значок
Значок верифікованого коміту — це результат перевірки підпису, а не характеристика особи. Коли ви бачите «Verified» поруч із комітом на GitHub, платформа повідомляє вам одну вузьку річ: вона перевірила криптографічний підпис, доданий до цього коміту, і перевірка пройшла успішно.
GitHub позначає підписаний коміт як Verified, коли його підпис успішно перевірено. Джерело
Значок прикріплений до коміту, а не до людини. Він також не є поточним індикатором безпеки облікового запису, який ви переглядаєте сьогодні. Результат перевірки — це історичний запис про перевірку, що відбулася в певний момент часу.
Після того як перевірку зафіксовано, запис може зберігатися навіть після відкликання або закінчення строку дії ключа підпису. Джерело
Ця стійкість запису важлива для дослідників. Значок може залишатися видимим на старому коміті навіть після того, як ключ підпису, що його створив, було відкликано або він втратив чинність. Відкликаний ключ не стирає значок заднім числом, а ключ із минулим строком дії не робить старий коміт неверифікованим. Отже, значок повідомляє, що підпис був дійсним на момент фіксації, а не те, що ключ досі вважається довіреним, що обліковий запис досі захищений або що поточний власник облікового запису — та сама особа, яка підписала.
Крок 1: Розділіть три питання
Коли хтось посилається на верифікований коміт як на доказ заяви розробника, він зазвичай змішує три різні питання. Розділіть їх, перш ніж щось оцінювати.
| Питання | Що може показати верифікований значок | Що він не може показати сам по собі |
|---|---|---|
| Чи був цей коміт підписаний і верифікований? | GitHub зафіксував успішну перевірку підпису для цього коміту. | Хто написав код або чи є код якісним. |
| Хто контролює обліковий запис зараз? | Нічого безпосередньо. Значок прив’язаний до коміту, а не до поточного контролю входу. | Чи та сама особа досі володіє обліковим записом або чи змінився власник. |
| Чи ця особа є тією, за кого себе видає, або працює там, де заявляє? | Нічого безпосередньо. | Особу, працевлаштування або повноваження говорити від імені організації. |
Верифікований значок відповідає лише на перший рядок. Другий і третій рядки потребують окремих доказів. Це та сама дисципліна, що описана в нашому посібнику що пошук за публічним профілем може й не може розкрити про особу: публічний артефакт — це зачіпка, а не висновок.
Крок 2: Читайте коміт, а не лише значок
Значок — це скорочення, а скорочення приховують контекст. Відкрийте сам коміт і подивіться, що оточує результат перевірки.
- Поле автора коміту та поле комітера. Це записи метаданих, а не доказ того, хто набрав код. У багатьох робочих процесах їх можна встановити будь-як.
- Показаний ключ підпису. GitHub пов’язує результат перевірки з ключем. Зверніть увагу, чи ключ подано як такий, що належить обліковому запису, організації або боту.
- Репозиторій і гілка. Верифікований коміт у особистому форку має меншу організаційну вагу, ніж коміт, злитий у підтримуваний проєкт, але жоден із них не доводить працевлаштування.
- Дата. Старий верифікований коміт — це історична точка даних. Він нічого не говорить про поточний стан безпеки облікового запису.
Жодне з цих полів окремо чи разом не встановлює, що власник облікового запису — це особа, названа в біографії, або що ця особа працює там, де вказано в профілі.
Крок 3: Перевірте поточний контроль облікового запису окремо
Верифікований коміт — це запис про коміт. Контроль облікового запису — окреме питання, і публічні сторінки рідко відповідають на нього безпосередньо. Що ви можете зробити — це шукати послідовність і безперервність.
- Порівняйте публічну історію облікового запису в часі. Довга, послідовна історія внесків — це зачіпка, а не доказ.
- Шукайте той самий хендл або відображуване ім’я на інших платформах. Збіг хендлів — це зачіпка. Це не доказ того, що облікові записи належать одній особі, адже хендли не є унікальними на різних платформах і можуть бути повторно використані або зайняті.
- Сприймайте текст профілю, аватари та біографії як заяви, які робить власник облікового запису, а не як перевірені факти.
Якщо хтось подає верифікований значок як доказ того, що він зараз контролює обліковий запис, це категоріальна помилка. Значок не вимірює поточну безпеку входу і не підтверджує, що особа, яка з вами говорить, є власником облікового запису.
Крок 4: Шукайте незалежні докази
Незалежні докази — це все, що походить не з того самого облікового запису, який робить заяву. Приклади включають власний опублікований список членів команди організації, перелік виступів на сайті конференції або репозиторій, що підтримується під організаційним обліковим записом із власним публічним записом. Навіть це є підтвердженням, а не доказом особи. Ваше завдання — вирішити, якої ваги заслуговує сукупність, а не проголошувати впевненість.
Таблиця рішень: якої ваги надавати верифікованому значку
| Ситуація | Розумне прочитання | Залишкова невизначеність |
|---|---|---|
| Значок присутній, ключ досі пов’язаний з обліковим записом, коміт недавній | Підпис було перевірено, і зв’язок ключа з обліковим записом актуальний. | Не доводить, що особа контролює обліковий запис або написала код. |
| Значок присутній, ключ відкликано або він втратив чинність | Перевірку було зафіксовано на момент її виконання. | Нічого не говорить про поточну довіру до ключа або безпеку облікового запису. |
| Значок присутній лише на старих комітах | Історичний запис перевірки. | Не має наслідків щодо поточної активності чи контролю. |
| Значок відсутній | Немає верифікованого підпису на цьому коміті. | Відсутність не є доказом правопорушення; багато законних робочих процесів не підписують кожен коміт. |
| Значок плюс збіг хендла на іншій платформі | Зачіпка, варта уваги. | Хендли не є унікальними; облікові записи можуть належати різним особам. |
| Значок плюс згадка в профілі організації | Підтвердження можливої приналежності. | Не доводить працевлаштування або повноваження говорити від імені організації. |
Поширені помилки
- Сприйняття значка як перевірки особи. Це результат перевірки підпису, а не перевірка біографії.
- Припущення, що історичний значок доводить поточну безпеку облікового запису. Запис може зберігатися після відкликання або закінчення строку дії ключа, тому значок не є поточним індикатором стану.
- Плутанина метаданих автора й комітера з авторством. Ці поля є заявами в об’єкті коміту, а не перевіреними фактами про те, хто написав код.
- Сприйняття збігу хендлів як доказу однієї особи. Той самий хендл на двох платформах — це зачіпка. Це не доказ того, що облікові записи належать одній особі.
- Прочитання значка на форку як організаційного схвалення. Верифікований коміт в особистому форку не встановлює, що організація переглянула або схвалила роботу.
- Припущення, що непідписаний коміт є підозрілим. Багато законних учасників і робочих процесів не підписують кожен коміт.
Контрольний список для самоперевірки
Перш ніж повторювати заяву розробника, що спирається на верифікований значок, пройдіть цей контрольний список.
- Чи відкрив я коміт і чи занотував автора, комітера, ключ, репозиторій і дату?
- Чи відокремив я «підпис перевірено» від «контролю облікового запису» та від «особи або працевлаштування»?
- Чи перевірив я, чи ключ досі пов’язаний з обліковим записом, або чи запис може зберігатися після відкликання чи закінчення строку дії?
- Чи шукав я принаймні одне джерело, що походить не з того самого облікового запису?
- Чи описав я збіг хендлів як зачіпку, а не як доказ однієї особи?
- Чи уникнув я твердження, що значок доводить поточну безпеку, авторство або працевлаштування?
Захист власного цифрового сліду
Якщо ви підписуєте коміти, пам’ятайте, що верифікований значок — це запис, який ви залишаєте після себе. Він може пережити ключ, що його створив. Перш ніж відкликати або змінювати ключ підпису, вирішіть, як мають читатися старі коміти, і ведіть власні нотатки про те, які ключі коли використовувалися. Якщо ви підтримуєте публічні профілі, перегляньте хендли, які ви використовували з часом, і перевірте, чи старі облікові записи досі вказують на вас. Пошук за іменем користувача, як-от TraceSeek, може допомогти вам переглянути власні відомі публічні хендли на 3.000+ платформах; перше сканування безкоштовне і не потребує реєстрації чи входу, а результати зазвичай повертаються за 20–30 секунд. Сприймайте результат як список зачіпок для перегляду, а не як підтвердження особи. TraceSeek не змінює налаштування платформ, не гарантує збігу і не перевіряє чиюсь особу. Про те, як ми формулюємо докази та обмеження, дивіться нашу методологію.
Ключові факти
- GitHub позначає підписаний коміт як Verified, коли його підпис успішно перевірено.
- Після того як перевірку зафіксовано, запис може зберігатися навіть після відкликання або закінчення строку дії ключа підпису.
- Значок верифікованого коміту — це результат перевірки підпису для конкретного коміту, а не доказ поточного контролю облікового запису чи особи.
- Збіг публічних ідентифікаторів на різних платформах — це зачіпки, а не доказ того, що облікові записи належать одній особі.
- TraceSeek охоплює 3.000+ платформ і пропонує безкоштовне перше сканування без реєстрації чи входу.