Sai lầm xảy ra ngay lúc sao chép
Hầu hết các rò rỉ kiểu này không phải là tấn công. Chúng là lỗi sao chép-dán xảy ra vài phút trước khi công bố một bio, một trang portfolio hoặc một chữ ký diễn đàn. Thanh địa chỉ trình duyệt có thể hiển thị địa chỉ feed trong khi trang bạn đang xem có cảm giác như “hoạt động của tôi”, vì vậy URL được sao chép là URL xác thực một yêu cầu chứ không phải URL chỉ đơn giản nêu tên hồ sơ của bạn.
URL feed hoạt động cá nhân của GitLab chứa một token xác thực yêu cầu feed. Nguồn
Đó chính là lý do toàn bộ việc kiểm tra này quan trọng: token không phải là một bí mật riêng biệt mà bạn có thể thu hồi sau này một cách độc lập. Nó được nhúng trong liên kết, và liên kết chính là thứ bạn sắp công bố.
URL hồ sơ công khai và URL feed hoạt động có xác thực phục vụ các mục đích khác nhau. Nguồn
Hãy coi câu đó là quy tắc quyết định cho phần còn lại của hướng dẫn này. Nếu URL bạn đang cầm có thể được dùng để lấy nội dung feed riêng tư, thì nó không phải liên kết hồ sơ, bất kể trông nó như thế nào.
Bước 1: Xác định loại liên kết bạn đang cầm
Bạn không cần hiểu định dạng token để đưa ra quyết định. Bạn cần biết trang nào đã tạo ra URL. Hãy dùng bảng dưới đây như một danh sách kiểm tra trước khi dán bất cứ thứ gì công khai.
| Những gì bạn đã sao chép | Dấu hiệu điển hình | An toàn công khai? | Việc cần làm |
|---|---|---|---|
| URL trang hồ sơ | Mở hồ sơ của bạn khi đăng xuất | Có, nếu bản thân hồ sơ là công khai | Dùng liên kết này |
| URL feed hoạt động | Chứa một đoạn token dài và trả về dữ liệu feed | Không | Loại bỏ; không dán, rút gọn hay chụp màn hình |
| Liên kết từ trang cài đặt hoặc trang token | Bạn đang ở khu vực có xác thực khi sao chép | Coi là riêng tư | Thay bằng URL hồ sơ |
| Liên kết người khác gửi cho bạn | Nguồn gốc không rõ | Chưa xác minh | Mở nó khi đăng xuất trước khi tin tưởng |
Có hai giới hạn cần nói rõ. Thứ nhất, bảng này là quy trình kiểm tra biên tập, không phải tính năng nền tảng; GitLab không gắn nhãn liên kết cho bạn. Thứ hai, một URL mở tốt trong trình duyệt đang đăng nhập của chính bạn không chứng minh được gì, vì phiên của bạn có thể đang cung cấp quyền truy cập mà người lạ không có.
Một phép thử thực tế không làm lộ gì: mở liên kết ứng viên trong cửa sổ riêng tư nơi bạn chưa đăng nhập. Nếu nó yêu cầu bạn xác thực, hoặc trả về nội dung feed mà bạn không muốn người lạ đọc, hãy dừng lại và quay về trang hồ sơ để sao chép địa chỉ lần nữa. Đừng dán URL không đạt vào chat, ticket hay bài đăng công khai để “kiểm tra” nó.
Bước 2: Thay bằng URL hồ sơ công khai
Khi bạn đã xác định một liên kết là sai loại, thay thế là hành động an toàn. Trình tự sau giữ URL riêng tư ra khỏi mọi nơi trung gian có thể lưu nó.
- Đóng tab hiển thị địa chỉ feed hoặc địa chỉ chứa token mà không sao chép lại.
- Điều hướng đến hồ sơ của bạn theo cách thông thường, qua giao diện trang thay vì dấu trang đã lưu tới feed.
- Xác nhận hồ sơ là hồ sơ bạn định công bố, và mức hiển thị của nó đúng như bạn mong đợi.
- Chỉ sao chép địa chỉ từ trang hồ sơ.
- Dán nó vào trình soạn thảo văn bản thuần trước, không dán trực tiếp vào trường bio, để bạn có thể xem toàn bộ chuỗi trước khi nó đi bất cứ đâu.
- Đối chiếu chuỗi đã dán với bảng trên. Nếu bất kỳ phần nào trông giống thông tin xác thực dài thay vì tên hoặc đường dẫn, hãy loại bỏ và lặp lại từ bước 2.
- Dán URL hồ sơ đã xác minh vào bio, sau đó xem trước bio như một khách truy cập đã đăng xuất sẽ thấy.
Bước 5 không phải là hình thức. Các trường bio, trình soạn thảo văn bản giàu định dạng và bản xem trước liên kết có thể lưu hoặc tải những gì bạn dán, và một lần tải bản xem trước của URL chứa token là thêm một nơi mà liên kết đã đi qua.
Bước 3: Quyết định xem bản thân feed có nên hiển thị
Liên kết hồ sơ và liên kết feed là hai câu hỏi riêng biệt. Bạn có thể có URL hồ sơ hoàn toàn an toàn mà vẫn không thoải mái với mức độ hoạt động của mình bị tiết lộ. Đó là quyết định về mức hiển thị, không phải quyết định về định dạng liên kết, và nên được đưa ra trước khi bạn công bố bất cứ thứ gì hướng người khác tới hồ sơ của bạn.
Feed cá nhân bao gồm hoạt động từ các dự án thành viên bất kể tab hoạt động hay bộ lọc nào được chọn. Nguồn
Điều đó quan trọng cho việc đưa ra phán đoán: nếu bạn đang dựa vào một tab hoặc bộ lọc để giữ một số hoạt động nhất định khỏi tầm nhìn, hành vi feed được mô tả ở trên có nghĩa là bộ lọc không phải ranh giới riêng tư. Hãy quyết định xem toàn bộ feed có chấp nhận được không, thay vì giả định một chế độ xem hẹp hơn sẽ bảo vệ bạn.
Nếu bạn kết luận là không chấp nhận được, bước tiếp theo là xem xét những gì vẫn hiển thị công khai sau khi bạn điều chỉnh mức hiển thị hồ sơ, chứ không chỉ thay một cài đặt rồi bỏ qua. Một hướng dẫn tiếp theo liên quan là bài về đặt hồ sơ GitLab của bạn thành riêng tư và kiểm tra những gì còn công khai, giải quyết khía cạnh hiển thị của quyết định này.
Nếu liên kết đã được chia sẻ
Hãy hành động trên giả định rằng bất cứ thứ gì được công bố công khai đều có thể đã bị sao chép, lưu trong bộ nhớ đệm hoặc được lập chỉ mục, ngay cả khi bạn xóa nó một phút sau. Xóa một bài đăng không thu hồi các bản sao mà người khác hoặc hệ thống tự động đã tạo, và hướng dẫn này sẽ không giả vờ ngược lại.
Hãy dùng các biện pháp kiểm soát token và tài khoản được ủy quyền của chính trang, hoặc các kênh hỗ trợ của trang, để xử lý thông tin xác thực đã bị lộ. Đường dẫn menu chính xác và các tùy chọn khôi phục hiện có không được tài liệu đã xem xét ở đây xác lập, vì vậy hãy kiểm tra chúng trong tài khoản của bạn thay vì làm theo trình tự đã ghi nhớ từ giao diện cũ. Đừng dán URL bị lộ vào một issue công khai, một bài đăng xã hội nhờ giúp đỡ hay một trang của bên thứ ba; hãy mô tả vấn đề mà không tái tạo liên kết.
Sau khi bạn đã hành động qua con đường được ủy quyền, hãy kiểm tra lại những nơi bạn đã công bố: các trường bio trên từng trang, chữ ký, trang portfolio, bài đăng được ghim và bất kỳ tài liệu nào bạn đã chia sẻ. Thay từng lần xuất hiện bằng URL hồ sơ, và ghi lại những nơi bạn không thể chỉnh sửa.
Tra cứu tên người dùng phù hợp ở đâu, và dừng ở đâu
Nếu mối quan tâm của bạn là mức độ một handle được dùng lại trên nhiều trang, tra cứu tên người dùng có thể làm nổi bật các kết quả trùng khớp công khai để xem xét. TraceSeek bao phủ 3.000+ nền tảng và cung cấp lần quét đầu tiên miễn phí, mất 20–30 giây theo sản phẩm. Đó là bước tạo đầu mối, không phải bằng chứng sở hữu: một handle trùng khớp trên trang khác có thể thuộc về người khác, và một lần tìm kiếm không phải là bản kiểm kê đầy đủ mọi tài khoản.
Điều mà tra cứu không thể làm là cho bạn biết liệu một URL cụ thể bạn đã sao chép có chứa thông tin xác thực hay không. Phán đoán đó đến từ việc kiểm tra ở Bước 1. Hãy tách biệt hai nhiệm vụ: dùng tra cứu để tìm các hồ sơ công khai đáng xem xét, và dùng kiểm tra loại liên kết để quyết định những gì an toàn để công bố.
Danh sách kiểm tra nhanh trước khi dán
- Tôi đã sao chép URL từ trang hồ sơ của mình, không phải từ feed, cài đặt hay trang token.
- Toàn bộ chuỗi không chứa đoạn dài giống thông tin xác thực.
- Liên kết mở như mong đợi trong cửa sổ riêng tư không có phiên đăng nhập.
- Tôi đã dán nó vào trình soạn thảo văn bản thuần trước trường bio.
- Tôi đã xem trước bio như một khách truy cập đã đăng xuất.
- Tôi đã quyết định xem toàn bộ feed hoạt động có chấp nhận được để tiết lộ không.
- Nếu tôi đã chia sẻ liên kết feed, tôi đã dùng biện pháp kiểm soát tài khoản được ủy quyền hoặc hỗ trợ và không đăng lại liên kết.
- Tôi đã kiểm tra lại mọi nơi liên kết cũ xuất hiện.
Nếu bất kỳ ô nào chưa được đánh dấu, mặc định an toàn là không công bố gì và quay lại trang hồ sơ để sao chép mới.