Hallo an Alle, die an Open Source Projekten in GitHub mitarbeiten
und/oder Repositorien selber dort hosten -
seit Mitte dieses Jahres gilt da ja eine strikte
Authentifizierungspolitik:
https://github.blog/2020-12-15-token-authentication-requirements-for-git-operations/
Wenn ich das richtig verstehe, heisst das übersetzt, dass man als GitHub
Contributor nun seine Identität bei einer amerikanischen(!) Drittfirma
hinterlegen muss, sonst kann man nichts pushen.
Als Europär ist man es ja gewohnt, dass die Datenschutzbestimmungen mir
ein gewisses Recht auf Dateneigentum zugestehen. Bei amerikanischen
Firmen halte ich meinen Atem nicht dafür an, dass die Daten nicht an
dubiose Drittfirmen oder -organisationen weiterverkobert werden. Da ich
das OS Contributen ja auf eigene Zeit und eigene Rechnung mache, sehe
ich nicht wirklich ein, dass ich dafür auch noch etwas zahlen muss
(entweder in Form eines security sticks für $55 oder halt in der Form
meines Datenrisikos).
Wie handhabt Ihr das?
Schönen Dank!
GITTi schrieb:> Wenn ich das richtig verstehe, heisst das übersetzt, dass man als GitHub> Contributor nun seine Identität bei einer amerikanischen(!) Drittfirma> hinterlegen muss, sonst kann man nichts pushen.
Wie kommst du denn darauf? Ich lese da nichts dergleichen.
> In July 2020, we announced our intent to require the use of token-based
authentication (for example, a personal access, OAuth, or GitHub App installation
token) for all authenticated Git operations. Beginning August 13, 2021, we will no
longer accept account passwords when authenticating Git operations on GitHub.com.
Da geht es m.W. einfach darum, keine Account-Passwörter mehr zur
Authentifizierung von Git-Operationen zu erlauben, sondern stattdessen
zeitlich begrenzte Access tokens.
GITTi schrieb:> Wie handhabt Ihr das?
Ich melde mich per 2FA bei GitHub an.
Wenn ich der Meinung bin dass github meine Daten nicht haben sollte,
sollte ich da keinen Account machen, gehört ja zu deren
Geschäftsbedingungen.
GITTi schrieb:> Wenn ich das richtig verstehe, heisst das übersetzt, dass man als GitHub> Contributor nun seine Identität bei einer amerikanischen(!) Drittfirma> hinterlegen muss, sonst kann man nichts pushen.
Diese "Identität" ist lediglich ein SSH-Key oder Authenticator-Token was
aus einer Android-App kommt, also z.B. "484713". Woher weiß GitHub dann
wer du bist? Es ist nur praktisch ein "Extra-Passwort". Es werden
keinerlei zusätzliche Daten erhoben. GitHub weiß dadurch nicht wer du
bist.
Mladen G. schrieb:> Wenn ich der Meinung bin dass github meine Daten nicht haben sollte
Es sind ja gar nicht mal "meine Daten". Es sind zufällig generierte
Zahlenfolgen (SSH-Key oder Token). Die sagen halt nichts über dich aus.
Allerhöchstens bekommt GitHub deine E-Mail-Adresse wenn du OAuth nutzt.
Aber die hat GitHub ja eh schon.
Kaufst du auch keine Bahntickets mehr am Automaten, wenn auf den Tickets
eine Nummer drauf steht? Die Nummer sagt zwar nichts über dich aus, aber
es sind ja "Daten"!
Mladen G. schrieb:> Ich melde mich per 2FA bei GitHub an.>
Ja aber die 2FA heisst doch genau, sich von einem Identitätsprovider
einen digitalen Identitätsnachweis zu holen? Es KANN sein, dass ich das
nicht richtig verstehe; wenn diese 2FA auch hinreichend anonym ist, habe
ich damit auch kein Problem.
> Wenn ich der Meinung bin dass github meine Daten nicht haben sollte,> sollte ich da keinen Account machen, gehört ja zu deren> Geschäftsbedingungen.
Ja aber um den eigenen account geht es mir dabei gar nicht; da habe ich
in der Tat die "freie Wahl." Es geht darum, dass ein Open Source Projekt
in GitHub gehostet ist, und der normale Prozeß dort ist, das Repo in
seinen account zu klonen, die changes dort hinein zu pushen und einen PR
abzusetzen. MaW: Wenn ich nett sein und zu dem Projekt beitragen will,
muss ich meine Identität einer Firma anvertrauen, die für mich die 2FA
übernimmt. Dass die Firma das nicht umsonst macht, ist auch klar, also
schürft sie die Identitätsdaten. Aber für meinen Altruismus auch noch zu
zahlen?...
Oder gibt es eine Form der 2FA, die bei GitHub anerkannt wird, meine
Identität aber trotzdem schützt?
Danke schön nochmal!
Programmierer schrieb:> Diese "Identität" ist lediglich ein SSH-Key oder Authenticator-Token was> aus einer Android-App kommt, also z.B. "484713". Woher weiß GitHub dann> wer du bist? Es ist nur praktisch ein "Extra-Passwort". Es werden> keinerlei zusätzliche Daten erhoben. GitHub weiß dadurch nicht wer du> bist.
Ok, der Teil fehlt mir; allerdings wird die Android App doch auch über
die Mobilnummer angelegt, d.h. ein Teil des Puzzles wird trotzdem dort
hinterlegt?
Hast Du einen link auf einen "workflow," wie man sich einen SSH Key
besorgt (entschuldigung, das ist vermutlich eine naive Frage); ich habe
selber keine Anleitung dafür gefunden...
GITTi schrieb:> Ja aber die 2FA heisst doch genau, sich von einem Identitätsprovider> einen digitalen Identitätsnachweis zu holen?
Nein. 2FA bedeutet dass für das Login ein zweiter Faktor benötigt wird
(Dein Passwort kennst Du, und Dein Telefon besitzt Du).
TOTP Tokens (die GH unterstützt) benötigen keinen separaten Provider.
Für Android z.B. Authy, oder Google Authenticator.
GITTi schrieb:> wenn diese 2FA auch hinreichend anonym ist, habe> ich damit auch kein Problem.
Eigentlich wollte ich genau auf das Gegenteil hinaus, dein Account bei
Guthub ist nicht Anonym, die wollen deine echten Daten bei der
Anmeldung.
GITTi schrieb:> Aber für meinen Altruismus auch noch zu> zahlen?
Naja, umsonst ist nix ;)
Ich hab kein Problem damit Github meine Daten zu geben, sonst wäre ich
da nicht, das ist ja auch der Deal.
Oder meinst du Github/Microsoft hat nicht schon viele Daten von dir dass
es jetzt darauf ankommt?
Naja, muss jeder selber wissen..
Der Datenklau der mir wirklich auf den Senkel geht ist dass die GEZ vom
Einwohnermeldeamt informiert wird.. einfach so.
;)
GITTi schrieb:> Ja aber die 2FA heisst doch genau, sich von einem Identitätsprovider> einen digitalen Identitätsnachweis zu holen? Es KANN sein, dass ich das> nicht richtig verstehe; wenn diese 2FA auch hinreichend anonym ist, habe> ich damit auch kein Problem.
Dieser Provider kann eine Android-Authenticator-App sein. Diese weiß
nichts über dich. Oder eben OAuth, das weiß deine E-Mail-Adresse. Die
weiß GitHub sowieso schon.
GITTi schrieb:> MaW: Wenn ich nett sein und zu dem Projekt beitragen will,> muss ich meine Identität einer Firma anvertrauen, die für mich die 2FA> übernimmt.
Musst du nicht, wenn du nicht OAuth sondern 2FA über Codes nutzt.
GITTi schrieb:> Dass die Firma das nicht umsonst macht, ist auch klar, also> schürft sie die Identitätsdaten.
Was sollen das für Daten sein, außer deiner Mail-Adresse? GitHub wird
von Microsoft betrieben. Die machen ihr Geld anders. Wenn du Windows
nutzt kannst du auch GitHub vertrauen.
GITTi schrieb:> Oder gibt es eine Form der 2FA, die bei GitHub anerkannt wird, meine> Identität aber trotzdem schützt?
Ja, alle.
Probier's doch einfach mal aus. Du wirst feststellen, dass du nirgendwo
deinen echten Namen, deine Ausweisnummer o.ä. angeben musst.
Allerhöchstens deine E-Mail-Adresse.
GITTi schrieb:> Ok, der Teil fehlt mir; allerdings wird die Android App doch auch über> die Mobilnummer angelegt,
Nein, die App kennt deine Mobilnummer nicht. Authenticator-Apps brauchen
keine Android-Permissions und haben somit keinen Zugriff auf irgendwas.
Was von den meisten Apps, die weit verbreitet sind (z.B. WhatsApp,
Facebook, Instagram etc.) nicht gesagt werden kann...
GITTi schrieb:> Hast Du einen link auf einen "workflow," wie man sich einen SSH Key> besorgt (entschuldigung, das ist vermutlich eine naive Frage)
"ssh-keygen" auf deinem PC starten. Ist bei Git mit installiert. Das
generiert einen zufälligen Schlüssel und speichert ihn auf dem PC. Da
ist nichts an persönlichen Daten drin, höchstens eventuell der
Username/Hostname vom PC, aber den kannst du trivial überschreiben.
GITTi schrieb:> Ja aber die 2FA heisst doch genau, sich von einem Identitätsprovider> einen digitalen Identitätsnachweis zu holen?
Nein. Der 2FA-Code wird von einer App generiert, und der Server macht
das selbe. Für 2FA wird auch der Fachbegriff "TOTP" (Time-based on-time
Password, Zeitgesteuertes Einmal-Kennwort) oder "HOTP" (HMAC-based
on-time Password, Ereignisgesteuertes Einmal-Kennwort) genutzt, je nach
dem welches Verfahren eingesetzt wird. Der Internet-Anbieter kann das
nicht beeinflussen, kann also nicht vom Code auf den Nutzer schließen.
https://de.wikipedia.org/wiki/Zwei-Faktor-Authentisierung
GITTi schrieb:> allerdings wird die Android App doch auch über> die Mobilnummer angelegt
Du kannst auch einen externen Authenticator nutzen. Reiner-SCT bietet
zwei Geräte an, den "Reiner Authenticator" und den "cyberJack deluxe".
Diese Geräte arbeiten autark, ohne Anbindung an das Internet.
So ganz nebenbei sollte man mehrere email Adressen haben. Die kosten ja
nichts. Falls ich denn mal wirklich gar nichts von mir preis geben will
hole ich mir eine email bei https://www.10minutemail.com, die ist auch
nur 10 minuten gueltig. Passt hier bei github zwar nicht.
