GitHub上のsensitive dataを削除するための手順と道のり | メルカリエンジニアリング

Advent Calendar day 7 担当の vvakame です。 予告では Apollo Federation Gateway Node.js実装についてポイント解説 としていましたが、社内各所のご協力によりAdvent Calendarの私の担当日に間に合う形で公開できる運びとなりました。そのため告知とは異なりますが GitHub上のsensitive data削除の手順と道のり をお届けしていきたいと思います。 メルペイVPoE hidekによるday 1の記事で振り返りがあったように、今年、弊社ではCodecovのBash Uploaderに係る情報流出という事案が発生しました。当該インシデント対応において、プレスリリースにも記載のある通り、ソースコード上に混入してしまった認証情報や一部個人情報などの機密性の高い情報（sensitive data）について調査を実施し、対応

[snowcrush]

誤解してそうなブコメがあるけど、これはprivate repoにpushしてしまった場合の手順であって、LINE Payのようなpublic repoでのインシデントとは根本的に異なるということには注意すべき

[rti7743]

git ignoreにファイル名ではなく、ファイルの中身も書けるといいのにな。そしたらexample.com ssh-rsa PRIVATE KEY----- って書いておけばデータ混入のリスクが減りそうじゃん。

[shunkeen]

“再混入を検知するために既知のcommit SHAがpushされたら自動的にIssueを建てるGitHub Actionsを作成”／消した後の対策も打っておく練度の高さ。しかし、ポジティブな書きっぷりだけど、大変さがそこはかとなく伝わってくる。

[kuniomu404]

そもそもなぜ機密情報がコミットされていたんでしたっけ？

[Nilfs]

そもそもあげてはいけないんだけど、削除の方法考えたことなかったので勉強になった。

[kagerou_ts]

気づくのがおくれるほどめっちゃ大変になってくやつ…GitHub側にもデータが残ってて、ユーザー操作ですぐ消せないのが厄介でつらい…

[diveintounlimit]

タイミングが良すぎる

[digo]

すごいタイミング^^

[sho]

ふつうにつらい。やらなくて済むならやらずに一生を終えたい。

[ma3tk]

大変そうだけど大事…！

[miholovesq]

丁寧でありがたい。そして面倒くさい。お世話になる羽目にはなりたくないけど保険でブクマしとくか…

[efcl]

GitHubのデータを削除ステータス、削除依頼について

[t_f_m]

"リポジトリ内のどこからも参照されないcommit SHAでもURLに直接アクセスすると参照できてしまう。黄色いラベルがでる。GCすると404になる"

[ikeike443]

日本でProfessional Servicesを使った例を聞いたの初めてだ

[nilab]

「GitHub上にある様々なデータ、リポジトリに含まれるsensitive data（各種tokenや個人情報など）の削除作業を行ったときの手順などをご紹介します」

[iekusup]

ほー。

[george0701]

リポジトリ削除しちゃうと、PR の議論も消えるから大変なんだな。

[dentaro]

何故 push されるか？との疑問がありますが、token などの名前を変えた際に branch を切り替えると ignore されておらず、うっかり push しがちです

[securecat]

良い内容だった！

[yahihi]

メモメモ

[havanap]

たいへんすぎる

[amatou310]

タイムリーなやつかと思った

[warufuzaketaichi]

手順を細かに公開して頂けて非常にありがたい。

[nunulk]

"そこでおすすめされたのが GitHub Professional Services で、GitHubのプロフェッショナルエキスパートが専属でこちらについてくれて、様々な相談や依頼を捌いてくれるというものだそうです。"

[ogawa0071]

過去に行ってしまった force push があった場合、Web UI上からはハッシュがわからなくなりそうだけど大丈夫なんだろうか？

[yarumato]

“情報を削除したい場合、GitHub社にオペレーションを頼まないとどうしようもない範囲があります。”

[AKIIRA]

Enterpriseだとたのめば削除する方法あるのか。

[yuki_2021]

一度やらかしたことがある。ためになる。

[fmn10]

リモート上の dangling なオブジェクトのために GitHub に GC を依頼する必要があるし、PReq の 参照を消す必要もある。

[napsucks]

そっか、消しても履歴全部残っちゃうから完全になかったことにするには歴史を修正するレベルの対応が必要なのね。

[umai_bow]

大変そうだ