CodeQL 공급망 공격 위협

GitHub의 불변 액션이 출시되면 공격의 70% 이상을 해결할 수 있을 것이라는 의견이 있음
- GitHub의 주간 문제들이 이를 출시하게 만들 것이라고 생각함
임시 토큰이 새로운 배포를 생성하고 아티팩트 증명을 생성할 권한을 가진 이유에 대한 언급이 없음
- 문제 해결을 위해 디버그 로그를 비활성화했지만, 임시 토큰의 권한을 코드 분석 엔진에 더 적합하게 변경했는지에 대한 답변이 없음
CI와 CD는 완전히 분리된 환경이어야 한다고 점점 더 확신하게 됨
- CI의 손상이 CD 관련 토큰 유출로 이어지지 않아야 함
GitHub의 대응 시간이 매우 인상적임
성이 Prater인 사람으로서 praetorian.com을 소유하고 싶다는 의견이 있음
공개 GitHub 액션을 사용하는 것은 문제를 초래할 수 있으며, 워크플로우 절차를 분석하지 않고 사용하는 것은 더 위험함
- 대신 woodpecker나 다른 훌륭한 CI 빌더(circle, travis, gitlab 등)를 사용하여 직접 호스팅할 것을 권장함
OpenZFS PR에 CodeQL을 사용하고 있으며, OpenZFS에는 문제가 없음을 언급함
- OpenZFS의 코드는 비밀이 아님
문제가 해결되었는지 궁금해하는 의견이 있음
사이트의 성능이 너무 나빠서 스크롤이 거의 불가능하다는 불만이 있음