Moin,
GitHub erfordert ab Mitternacht verpflichtend die 2-Faktor-Authentifizierung. Das möchte ich nicht und suche eine Alternative, wo ich als Hobby-Frickler meine Projekte ablaichen kann. Vielen Dank im Voraus!
Lokales SVN und Backup.
Zum Beispiel Codeberg erzwingt kein 2FA. Ansonsten steht’s einem auch immer frei, selbst eine Forgejo- oder Gitlab-Instanz aufzusetzen.
Abgesehen davon würde mich interessieren, was aus deiner Sicht das Problem mit 2FA ist. Manche empfinden’s als umständlich – das ist subjektiv und dagegen lässt sich nix sagen; manche denken aber auch, dass man dazu ein weiteres Gerät (Telefon o.Ä.) nutzen müsse, und lehnen es deswegen ab – da mag Aufklärung helfen, denn das ist nicht der Fall, und unterm Strich ist der zweite Faktor durchaus ein sinnvoller Baustein bei der Absicherung von Accounts – gerade bei so missbraucharen Dingen wie Code-Repos.
:
Bearbeitet durch User
Danke, Codeberg werde ich mir anschauen thumbsup
Eigentlich wollte ich keine Diskussion vom Zaun brechen für das für und wider und warum und warum nicht. Ich gönne es jedem von Herzen, der seine Projekte mit allen zur Verfügung stehenden technischen Mitteln absichern will, es auch tun zu können. Bei großen, sicherheitskritischen Projekten mit vielen Hauptentwicklern sehe ich das sogar als notwenig (aber nicht hinreichend) an.
Ich möchte aber nicht, wenn ich nur ein paar Codeschnipsel per Gist an einen Kollegen teilen will oder ein KiCad-Projekt, an dem sich vielleicht nur noch drei weitere Leute weltweit interessieren, mich noch extra authentifizieren müssen. "Set and forget" ist hier meine Devise. Du interessierst dich für mein Projekt? - Schön, lad es dir runter und mach damit, was du willst.
Hintergrund ist tatsächlich der, dass ich mehrere weitestgehend inaktive GH-Accounts habe. Die meisten, um sich eine Schattenkopie von interessanten Projekten abzulegen. Einen, um meine wenigen kreativen Ergüsse mit ein paar Leutchen teilen zu können, wenn sie Interesse dran haben.
Es ist tatsächlich so gewesen, dass ich vor Wochen (oder gar Monaten?) für einen Kollegen ein paar irrelevante Codezeilen per Gist geteilt habe. Wenige Minuten später bekam ich von GH eine Mail, dass ich "ja jetzt ganz dringend und sofort auf 2FA umsteigen müsste...". Dachte da erst an einen Scam, dass sich jemand ein Script gebastelt hat, das kürzlich aktive Accounts durchtickert und mit Scam-Mails versucht Zugangsdaten abzugreifen.... Dann immer wieder diese "Erinnerungsmails", wo man versucht Druck aufzubauen, dass man doch jetzt endlich mal 2FA einrichten solle, weil wir sonst alle stärben werden!!!!111einseinself - Heute Nacht schon wieder, dann die allerletzte letzte Gelegenheit. Das finde ich unseriös.
Ehrlich gesagt, ich möchte das nicht! Ich möchte für meine Trivialprojekte kein 2FA nutzen müssen und zweitens möchte ich mich nicht bedrängen lassen! Auf meinem Handy sind 248 Apps installiert, von denen ich eigentlich nur 5 regelmäßig nutze. Denn mittlerweile schreit jeder Scheiß nach seiner eigenen App: Jede Bank (viele wollen sogar 2 Apps, aber auf dem selben Gerät, oh wie "sicher"), Versicherung, Reisebüro, Paketdienst, Lieferdienst, Autowerkstatt, Restaurant, Apotheke, Verkehrsbetrieb und Baumarkt will seine eigene App. - Nein, das will ich nicht mehr!
Warum überlässt man es nicht dem Nutzer, wie er sein Repo absichern möchte? Wenn es ein großes Projekt mit vielen Entwicklern und sicherheitskritischen Eigenschaften ist, bitteschön, nutzt jede erdenkliche technische Hürde, das Projekt zu kompromittieren. Aber lasst mich doch bitte als kleinen Hobby-Frickler in Frieden. Wenn jemand in mein Arduino-Blink-Programm einbricht und die Frequenz soweit hochdreht, dass die LED nur noch leuchtet, dann ist es halt so. Schaden überschaubar. Außerdem kann man ja ein Projekt immer noch forken und damit Schabernack machen oder einfach den Quellcode händisch rauskopieren und in ne Textdatei reinkopieren und abändern... Möglichkeiten gibt es genug, eine Software zu kompormittieren, wenn man es will.
Außerdem zeigen die Vorfälle der Vergangengheit, dass Sicherheitslücken dadurch entstanden Sind, dass entweder Entwickler selbst geschlampt haben (z.B. HeartBleed) oder ganz subtil durch Social Engineering gegaslighted wurden (z.B. xz util), bis sie dem Angreifer sämtliche Rechte an dem Projekt übertragen haben. Das hätte keine 2FA verhindert!
Ich brauche eigentlich nicht mal eine Versionskontrolle. Alles, was mit Text zu tun hat, wird hier lokal eh im DokuWiki automatisch revisioniert. Das Backup landet jede Nacht auf einem anderen NAS und wöchentlich bis monatlich im Festplattenkoffer in der Firma. Komplexere Projekte wie KiCad werden selbst bei kleinsten Änderungen diszipliniert hochrevisioniert und mit Deviation/ECR/ECO-Nr. im DokuWiki als "PLM für arme" getrackt.
Ich suche also eigentlich nur ein besseres Gist/Pastebin, wo ich bei Bedarf meine Sachen veröffentlichen kann.
Auf meinem Handy sind 248 Apps installiert, von denen ich eigentlich nur 5 regelmäßig nutze. Denn mittlerweile schreit jeder Scheiß nach seiner eigenen App: Jede Bank (viele wollen sogar 2 Apps, aber auf dem selben Gerät, oh wie "sicher"), Versicherung, Reisebüro, Paketdienst, Lieferdienst, Autowerkstatt, Restaurant, Apotheke, Verkehrsbetrieb und Baumarkt will seine eigene App. - Nein, das will ich nicht mehr!
Nachvollziehbar. Aber wie geschrieben: Für TOTP benötigt man keine App auf dem Telefon. Jeder bessere Passwortmanager integriert das, und dann ist’s Einloggen irgendwo genau ein Klick mehr. Nachdem man sowieso für jeden Account ein eigenes, starkes Passwort haben sollte, ist ein Passwortmanager eigentlich sowieso die beste Option (nach FIDO2, aber das bieten die meisten Seiten ja leider auch nur als zweiten Faktor an).
Warum überlässt man es nicht dem Nutzer, wie er sein Repo absichern möchte?
Weil ein guter Teil der Nutzer dann wie du agieren würde: Aufgrund von augenscheinlich falschen Vorstellungen von der Nutzung absehen – und was daraus wird, sieht man dann ja häufiger mal, wenn die Projekte kompromittiert werden. Das ist besonders „witzig“, wenn andere Sachen das einbinden oder darauf aufbauen.
Während ich selbst absolut gegen irgendwelchen Zwang zu proprietären/anbieterspezifischen bin, sehe ich hier das Problem nicht: Es wird ein etablierter Standard genutzt, der mit minimalem Mehraufwand die Sicherheit entscheidend erhöht.
Git braucht keinen Server um Projekte zu teilen. Du kannst den Kollegen auch einfach ein Zip von deinem Projekt schicken (samt .git Verzeichnis) und die mergen das dann in ihr persönliches Arbeitsverzeichnis.
Danke für das Mitgefühl! Bin jetzt zu Codeberg migriert und habe die alten GH-Repos archiviert. Offensichtlich ist die Markdown-Syntax nicht 100%-ig kompatibel, Bilder sind z.B. nicht aklickbar, da werde ich noch manuell opitmieren müssen.
Wie gesagt, auf das gitten könnte ich am ehesten verzichten. Mir ging es um eine unkomplizierte Plattform, wo ich einfache Codeteile oder Platinenprojekte der Allgemeinheit zur Verfügung stellen kann.
P.S. KeePass verwende ich schon seit fast 17 Jahren (zumindest ist das mein ältester Eintrag in der DB), bin also nicht der letzte IT-DAU, habe nur keine Lust mehr, immer dem neusten Hype hinterherzuhecheln ;-)
:
Bearbeitet durch User
habe nur keine Lust mehr, immer dem neusten Hype hinterherzuhecheln
Naja – ab wann würdest du etwas denn nicht mehr als „neusten Hype“ einstufen, sondern die Nutzung in Erwägung ziehen? TOTP ist RFC 6238 von 2011 …
Wenn es mir meine Arbeit signifikant erleichtert. Im Moment sehe ich einfach keinen Vorteil daran, dass ich mehr Schritte tun muss, um das selbe Ergebnis zu erzielen, vulgo: um einen dämlichen Arduino-Code hochzuladen.
Wenn jemand unbedingt meint, dass er das Projekt per Brute-Force kapern möchte, bitteschön, soll er mit glücklich werden.
Antwort schreiben
Bitte melde dich an, um einen Beitrag zu schreiben.