Come proteggere i tuoi repository e verificare la sicurezza del tuo account

In attesa dei risultati ufficiali delle indagini di GitHub, è fondamentale agire d’anticipo per proteggere il proprio codice e le credenziali aziendali. Ecco i passaggi pratici da seguire, ordinati per livello di difficoltà.

Livello Facile 🟢: Controllo delle sessioni attive e revoca dei token obsoleti

Il primo passo consiste nel verificare chi ha accesso al tuo account e quali applicazioni esterne dispongono di autorizzazioni attive.

• Accedi a GitHub e vai su Impostazioni > Password e autenticazione > Sessioni attive per verificare la presenza di dispositivi o posizioni geografiche sconosciute.
• Naviga su Impostazioni > Impostazioni sviluppatore > Personal Access Tokens ed elimina immediatamente i token non più utilizzati o sospetti.
• Controlla le applicazioni di terze parti autorizzate in Impostazioni > Applicazioni > Applicazioni OAuth autorizzate e revoca i permessi a quelle non necessarie.

Livello Medio 🟡: Abilitazione della 2FA obbligatoria e rotazione delle chiavi SSH

Se gestisci un’organizzazione o utilizzi GitHub per scopi professionali, devi elevare gli standard di sicurezza per tutti i collaboratori.

• Forza l’autenticazione a due fattori (2FA) per tutti i membri dell’organizzazione andando su Impostazioni Organizzazione > Sicurezza > Autenticazione e attivando l’opzione di obbligatorietà.
• Rimuovi e rigenera le chiavi SSH associate al tuo account in Impostazioni > Chiavi SSH e GPG.
• Abilita il monitoraggio dei segreti (Secret Scanning) nei tuoi repository per evitare che password o API key vengano caricate accidentalmente nel codice sorgente.

Livello Avanzato 🔴: Analisi dei log di sicurezza tramite GitHub CLI

Per gli amministratori di sistema e i team di sicurezza, è possibile analizzare i log di audit tramite riga di comando per individuare accessi anomali o clonazioni di repository non autorizzate.

Installa la GitHub CLI, effettua il login e utilizza il seguente comando per esportare e analizzare i log di audit della tua organizzazione:

gh api orgs/NOME_ORGANIZZAZIONE/audit-log

Per verificare rapidamente l’elenco delle chiavi SSH pubbliche associate al tuo profilo utente corrente ed escludere inserimenti non autorizzati, esegui:

gh ssh-key list