מודל האיום של STRIDE: מסגרת "מה יכול להשתבש?"

דוגמה לדחייה: לא חתום Commits

מה מתוקן: מניעת מיזוגים לא מבוקרים על ידי אימות commit חתימות.

// Anyone can commit and push, no verification of who or with what identity

git commit -m "update deploy config"

git push origin main



// No branch protection: unsigned, unverified commits merge freely

// .github/settings.yml (missing or absent)

אין חתימה, אין בודק נדרש, ואין דרך להוכיח מאוחר יותר מי כתב את השינוי הזה או האם הוא טופל במהלך ההעברה.

// Commit signing enabled and enforced locally

git config commit.gpgsign true

git commit -S -m "update deploy config"

git push origin main



// Branch protection requires signed commits before merge

// .github/settings.yml

branches:

  - name: main

    protection:

      required_signatures: true

      required_pull_request_reviews:

        required_approving_review_count: 1

עכשיו כל commit on main נושא חתימה ניתנת לאימות, ולא חתום commitנדחים ברמת הענף, וסוגרים את פער הדחייה.

דוגמה לחשיפת מידע: סודות ביומנים

מה מתוקן: מניעת דליפה סודית על ידי הימנעות מהדפסה ישירה של משתני סביבה רגישים.

// CI job prints the secret directly to logs for "debugging"

steps:

  - name: Deploy

    run: |

      echo "Using API key: $API_KEY"

      curl -H "Authorization: Bearer $API_KEY" https://api.example.com/deploy

אם משימה זו נכשלת או שלחבר צוות יש גישה ליומן, $API_KEY נמצא כעת בטקסט רגיל בהיסטוריית ה-CI, גלוי לכל מי שיש לו גישת קריאה אליו pipeline.

// Secret is referenced, never printed, and CI masks it by default

steps:

  - name: Deploy

    run: |

      curl -H "Authorization: Bearer ${{ secrets.API_KEY }}" https://api.example.com/deploy

    env:

      API_KEY: ${{ secrets.API_KEY }}

המפתח נמשך ממאגר הסודות של ה-CI בזמן ריצה, לעולם לא מועבר ל-stdout, ורוב פלטפורמות ה-CI יסווגו אותו אוטומטית ביומנים גם אם הוא מופיע בפלט בטעות.