YouTube-dl事情才以往没多久，GitHub又登上了Hacker News榜首。
缘故是其源码被所有泄漏!
从开发人员Resynth 发布的一篇blog中认识到，在一个向 GitHub 官方网 DMCA 库房递交的异常 Commit 中，一名不明身份工作人员利用 GitHub 应用软件中的bug 仿冒GitHub CEO 奈特·弗里德曼 (Nat Friedman)提交了商业秘密源码。
GitHub想来大家都十分了解，它是一个大中型编码储存库，关键为公司和开发者给予代管新项目和服务项目编码。iPhone，amazon，Google，Facebook及其其它很多大中型科技公司全是其关键顾客。与此同时，GitHub已代管超出1亿次储存库，为4000万开发者给予資源适用。
因而，此泄漏事情一出便快速冲到了Hacker News热搜榜，许多开发人员表明为GitHub服务平台的安全觉得忧虑。
对于此事，GitHub CEO Friedman自己则第一时间在帖子下进行了表述。他表明，
GitHub沒有被黑客攻击，被泄漏的是一部分GitHub Enterprise Server源码。二者尽管共享资源很多编码，但GitHub主要是由Ruby撰写，或是有较大差距的。
此外，这一事情的诱因是好多个月前，开发者不经意间将企业服务器源码的未脱敏/搞混的 tarball 交付给了一些顾客导致的。大家已经全力以赴修补服务平台Bug，避免没经认证的未知人员根据仿冒真实身份随便盗取、改动别人新项目。
最终，Friedman为了更好地抚慰客户乃至还吟了首勃朗宁的诗：一切都很好，状况也很一切正常，云雀展翅翱翔，小乌龟在荆棘之路往上爬动，世界上一切顺利!
但是，开发人员们对于此事回复并不待见。从她们的调侃看来，Github编码智能管理系统早就存有多种Bug，例如递交编码时，Git不容易对客户真实身份开展核实。这一点会给源码产生巨大的安全隐患，但GitHub服务平台对于此事从没关注过。
此外，有些人表明恰好是利用这一缺点，未知人员才得到假冒Friedman真实身份公布了商业秘密编码。
源码管理工具Git存有Bug
Git，是Github用于代管源码的分布式系统版本号智能管理系统，简易而言，便是源码管理工具。
它的设计方案存有一种显著的缺点，即沒有为避免别的用户盗取给予过多的维护。从总体上，Git 提交编码资料的全过程，类似推送电子邮箱。客户可以在user.name和user.email字段名中键入一切信息内容。这一环节中，假如2个字段名中间不选用GPG密匙关系，系统软件就不容易审查它的特定由来，那麼信息内容作假会越来越很容易。
以上未知人员成功确认提交，显而易见是Friedman没为有关字段名创建GPG(General Planning Group)密匙。
那麼，在绕开这层限定后，未知人员又是怎样递交至储存库，与此同时又不危害具体存有帐户的?据统计，将递交內容上传入Git储存库会获得一个散列，可用以搜索树。GitHub是Web程序的一部分，给予了对电脑浏览器中最底层Git构造的访问限制，因而，它可以将Git储存库的任何支系储存在一个独立的最底层储存库文件，虽然通常不可能在URL构造中表明这类方法。
为了更好地仿冒他人的帐户，未知人员最先必须复制一个DMCA储藏库。在拓展到储存库以后，再递交泄露源码，并仿冒成Friedman的名字和电子邮箱地址。这一全过程Fork储存库很有可能会发生不正确，也就是说，URL很有可能仍然偏向假冒者真真正正的登录名和帐户。
但在最底层Git上，父级和Fork全是同一个储存库的一部分，这将容许假冒者建立一个URL，该URL可以在主储存库文件递交，而不是在Fork中。
因而，假冒者从https://github.com/github/dmca逐渐，将tree/$hash增加到结尾，在其中$hash是网络攻击自身的fork递交的散列值。
結果假冒者得到替代Friedman应用了一个URL在GitHub上上传了自个的商业秘密编码。
值得一提的是，除开编码安全系数的忧虑以外，这件事情也再度造成了开发人员们对GitHub开源系统心态的关心。一直以来，GitHub 一直由于对外公布源码而饱受诟病，而正好前几日，GitHub再度因封禁短视频武器YouTube-dl而身陷社会舆论事件。
据统计，本次泄漏事情的产生，很可能是这名不知名开发人员对封禁YouTube-dl一事的报仇。
也许与下线YouTube-dl相关
上一个月，在国外唱片业研究会(RIAA)的需求下， GitHub 禁封了7.5万Star的受欢迎开源软件 YouTube-dl。
那时候RIAA其提供的原因是，YouTube-dl其违背了DMCA的反避开条文：
- 此源码的确立目地是：1)避开 YouTube 等受权流媒体播放服务项目所采用的技术性保障措施;2)没经受权拷贝和派发vip会员企业具有的视频音乐和声频。3)除YouTube外，该源码在 GitHub上适用更多网站下载小视频。
但GitHub将YouTube-dl下线，却惹恼了开发人员们，她们在GitHub上拷贝并发送了很多编码团本，为此对该下线个人行为表明强烈抗议。现阶段在GitHub上检索YouTube-dl，有关結果达到4108个。
之后，GitHub企业法律法规精英团队迫不得已传出全新警示，称假如再次公布编码团本，很有可能会对它进行封禁解决。
一定要注意，在未遵循步骤的情形下再次公布YouTube-dl编码团本是违背GitHub服务平台DMCA现行政策和服务条款的。假如您在明知道违背服务条款的情形下，再次向该储存库递交或公布相关内容，大家会将其删掉，并很有可能中断对您账号的访问限制。
尽管导致本次泄漏事情的不知名人物并没有对这事公布表态发言，但有些人猜想称很有可能是他对GitHub下线此项目地报仇。
此外，在Friedman回复泄漏事情的贴子下能够看见，许多朋友对GitHub因DMCA协议书而下线YouTube-dl表明不满意。
也有一位客户表明，GitHub往往那样做，很可能是由于微软公司是RIAA的组员。他说道，DMCA 所需求的下线并不是让编码出版权使用者自身下线，GitHub做为一家提倡开源系统的单独企业，它不用遵循RIAA的非法请求。
可以看得出，网民们的不满意表明是由于禁封一事与GitHub最开始的开源系统初心本末倒置。
GitHub开源系统精神实质惹异议
2018年，微软公司以75亿美金的价位回收GitHub。新一任 CEO Nat Friedman 曾表明：GitHub 将一直坚持开发人员优先选择并单独经营。
Resynth在blog中也表明：微软公司一再强调专注于开源系统，这一点大家从许多的校园广告中常常能够看见，它的目地是让微软公司出自于开源系统发展趋势的前沿。
但如今看来，微软公司好像并没保证服务承诺的那般。并且YouTube-dl也仅仅近期产生的一例罢了。实际上，GitHub因将其源码信息保密的问题早已在业界广受指责。
此外，Resynth也提示称，此次事情也迫不得已让大家担忧 GitHub 源码的安全系数。由于闭源应用软件实行的是“隐敝式安全性 (Security By Obscurity)”，即源码是隱藏的，目地是减少安全隐患。假如 GitHub 确实公布源码，很可能会伤害其总体的安全系数。
文中转自雷锋网，如需引用请至雷锋网官方网站申请办理受权。