Sicherheit bei Git-Diensten

Ingo schrieb:
> Es geht dabei nicht nur um das unberechtigte Abgreifen der Sourcen,

dabei musst Du dem Anbieter vertrauen. Genauso wie beim Schutz gegen 
Datenverlust oder Nichterreichbarkeit. Schau Dir die Garantien an die 
die bieten, die Schadensersatzsummen die sie anbieten (Service Level 
Agreement) und den potentiellen Schaden bei Dir.

Vergleiche das zwischen den verschiedenen Anbietern und dem selbst 
hosten.

Dann triff Deine Entscheidung.

> sondern auch um die Manipulation selbiger, was dann beim nächsten Update
> auf dem Server so ziemlich alle negativen Konsequenzen haben könnte, die
> man sich vorstellen kann.

Wenn Du es richtig aufsetzt und nutzt, ist Manipulation bei git 
prinzipbedingt kein so großes Problem wie bei anderen 
Versionskontrollsystemen.

Zum einen verwaltet git eine Kette von Prüfsummen. Wenn die zwischen dem 
Server und dem lokalen Repository nicht mehr stimmt, bekommst Du ne 
Fehlermeldung. Du musst nur darauf achten, daß niemand einen force push 
macht. Denn dann erkennst Du keinen Unterschied zwischen force push und 
Manipulation.

Außerdem kannst Du bei git Versionsstände mit GnuPG signierten Tags 
versehen. Die Signatur ist im git enthalten und kann automatisiert 
geprüft werden. Da muss man sich halt einen Prozess überlegen wann das 
sinnvoll ist das einzusetzen und wer in dem Projekt das wann und wie 
macht und kontrolliert.