Сведения о проверке подписи фиксации

Сведения о проверке подписи фиксации

Вы можете локально подписывать фиксации и теги, чтобы обеспечить для других пользователей уверенность в происхождении внесенных изменений. Если у фиксации или тега есть подпись GPG, SSH или S/MIME, которая является криптографически проверяемой, GitHub помечает фиксацию или тег "Проверено".

Если фиксация или тег имеют подпись, которая не может быть проверена, GitHub помечает фиксацию или тег "Unverified".

Для большинства отдельных пользователей GPG или SSH будет лучшим выбором для подписывания фиксаций. Подписи S/MIME обычно требуются в контексте более крупной организации. Подписи SSH создавать проще всего. Вы даже можете передать существующий ключ проверки подлинности в GitHub для использования в качестве ключа подписи. Создание ключа подписывания GPG сложнее создания ключа SSH, но в GPG есть функции, отсутствующие у SSH. Если ключ GPG больше не используется, может истечь срок его действия или он может быть отозван. Подпись GPG может включать сведения об истечении срока действия или отмене.

Проверка подписи сохраняемой фиксации

Независимо от выбора подписи — GPG, SSH или S/MIME — после проверки подписи фиксации она остается проверенной в сети своего репозитория. См . раздел AUTOTITLE.

Когда подпись фиксации проверяется при отправке на GitHub, запись проверки хранится вместе с фиксацией. Эта запись не может быть изменена и сохранится, чтобы подписи оставались проверенными с течением времени, даже если ключи подписи поворачиваются, отзываются или если участники покидают организацию.

Запись проверки включает метку времени при завершении проверки. Эта постоянная запись гарантирует согласованное проверенное состояние, предоставляя стабильный журнал вкладов в репозитории. Эту метку времени можно просмотреть, наведя указатель мыши на значок "Проверено" на GitHub или путем доступа к фиксации через REST API, который включает verified_at поле. См . раздел AUTOTITLE.

Проверка подписи сохраняемой фиксации применяется к новым фиксациям, отправленным на GitHub. Для любых фиксаций, которые предопределены этой функцией, сохраняемая запись будет создана при следующем проверке подписи фиксации на GitHub, помогая гарантировать, что проверенные состояния остаются стабильными и надежными в журнале репозитория.

Сведения об отключении проверки подписи сохраняемой фиксации см. в разделе Отключение проверки постоянной фиксации.

Записи сохраняются даже после отзыва и истечения срока действия

Проверка подписи сохраняемой фиксации отражает проверенное состояние фиксации во время проверки. Это означает, что если ключ подписи позже отозван, истек или изменен, ранее проверенные фиксации сохраняют их проверенное состояние на основе записи, созданной во время начальной проверки. GitHub не будет повторно проверять ранее подписанные фиксации или ретроактивно изменять состояние проверки в ответ на изменения состояния ключа. Организациям может потребоваться управлять ключевыми состояниями напрямую, чтобы соответствовать их политикам безопасности, особенно если планируется частое смена ключей или отмена.

Запись проверки распространяется на сеть репозитория.

Запись проверки сохраняется в сети репозитория, то есть если одна и та же фиксация отправляется повторно в тот же репозиторий или в любой из его вилок, существующая запись проверки повторно используется. Это позволяет GitHub поддерживать согласованное проверенное состояние в связанных репозиториях без повторной проверки фиксации при каждом отображении в сети. Это сохраняемость усиливает единое и надежное представление подлинности фиксации во всех экземплярах фиксации в сети репозитория.

Проверка подписи для перемещения из одной ветви в другую и слияния

При использовании варианта Перемещение и слияние для запроса на вытягивание важно помнить, что фиксации в головной ветви добавляются в базовую ветвь без проверки подписи фиксации. При использовании этого варианта GitHub создает измененную фиксацию, используя данные и содержимое исходной фиксации. Это означает, что GitHub не создает новую фиксацию и не может подписать ее как обычный пользователь системы. GitHub не имеет доступа к закрытым ключам для подписывания этой фиксации, поэтому не может подписать фиксацию от имени пользователя.

Чтобы обойти это ограничение, следует переместить изменения из одной ветви в другую и объединить их локально, а затем отправить изменения в базовую ветвь запроса на вытягивание.

Дополнительные сведения см. в разделе О методах слияния на GitHub.

Администраторы репозитория могут принудительно применить обязательное подписание фиксации в ветви, чтобы заблокировать все неподписанные и непроверенные фиксации. Дополнительные сведения см. в разделе Сведения о защищенных ветвях.

Вы можете проверить состояние проверки подписанных фиксаций или тегов на GitHub и просмотреть, почему подписи фиксации могут быть непроверены. Дополнительные сведения см. в разделе Проверка состояния проверки сигнатуры фиксации и тега.

Если администратор сайта включил подписывание веб-фиксации, GitHub автоматически будет использовать GPG для подписывания фиксаций, которые вы делаете с помощью веб-интерфейса. Фиксации, подписанные GitHub, будут иметь проверенное состояние. Вы можете проверить подпись локально с помощью открытого ключа, доступного по адресу https://HOSTNAME/web-flow.gpg. Дополнительные сведения см. в разделе Настройка подписи веб-фиксации.

Проверка GPG подписи фиксации

Вы можете использовать GPG для подписывания фиксаций с помощью ключа GPG, который вы создаете самостоятельно.

GitHub использует библиотеки OpenPGP для подтверждения того, что ваши локальные подписанные фиксации и теги криптографически проверяются на открытый ключ, добавленный в учетную запись на ваш экземпляр GitHub Enterprise Server.

Чтобы подписать фиксации с помощью GPG и проверить эти фиксации на GitHub, выполните следующие действия:

1.        [Проверьте наличие существующих ключей GPG](/authentication/managing-commit-signature-verification/checking-for-existing-gpg-keys).
   

2.        [Создайте новый ключ GPG](/authentication/managing-commit-signature-verification/generating-a-new-gpg-key).
   

3.        [Добавьте GPG-ключ в свой GitHub аккаунт](/authentication/managing-commit-signature-verification/adding-a-gpg-key-to-your-github-account)
   

4.        [Расскажите в Git о ключе для подписывания](/authentication/managing-commit-signature-verification/telling-git-about-your-signing-key).
   

5.        [Подпишите фиксации](/authentication/managing-commit-signature-verification/signing-commits).
   

6.        [Подпишите теги](/authentication/managing-commit-signature-verification/signing-tags).
   

Проверка подписи фиксаций SSH

Вы можете использовать SSH для подписывания фиксаций с помощью ключа SSH, который вы создаете самостоятельно. Дополнительные сведения см. в справочной документации по Git.user.Signingkey Если вы уже используете ключ SSH для проверки подлинности с помощью GitHub, вы также можете отправить этот же ключ еще раз для использования в качестве ключа подписи. Количество ключей подписывания, которые можно добавить в учетную запись, не ограничено.

GitHub использует ssh_data, open source библиотеку Ruby, чтобы подтвердить, что ваши локально подписанные коммиты и теги криптографически проверяются по публичному ключу, добавленному в аккаунт на ваш экземпляр GitHub Enterprise Server.

Чтобы подписать фиксации с помощью SSH и проверить эти фиксации на GitHub, выполните следующие действия:

1.        [Проверьте существующие ключи SSH](/authentication/connecting-to-github-with-ssh/checking-for-existing-ssh-keys)
   

2.        [Создание нового ключа SSH](/authentication/connecting-to-github-with-ssh/generating-a-new-ssh-key-and-adding-it-to-the-ssh-agent)
   

3.        [Добавьте ключ SSH для подписи в свой GitHub аккаунт](/authentication/connecting-to-github-with-ssh/adding-a-new-ssh-key-to-your-github-account)
   

4.        [Расскажите в Git о ключе для подписывания](/authentication/managing-commit-signature-verification/telling-git-about-your-signing-key).
   

5.        [Подпишите фиксации](/authentication/managing-commit-signature-verification/signing-commits).
   

6.        [Подпишите теги](/authentication/managing-commit-signature-verification/signing-tags).
   

Проверка S/MIME подписи фиксации

Вы можете использовать S/MIME для подписывания фиксаций с помощью ключа X.509, выданного вашей организацией.

GitHub использует пакет ca-certificates Debian, то же хранилище доверия, используемое браузерами Mozilla, чтобы убедиться, что ваши локальные подписанные фиксации и теги криптографически проверяются на открытый ключ в доверенном корневом сертификате.

Чтобы подписать фиксации с помощью S/MIME и проверить эти фиксации на GitHub, выполните следующие действия:

1.        [Расскажите в Git о ключе для подписывания](/authentication/managing-commit-signature-verification/telling-git-about-your-signing-key).
   

2.        [Подпишите фиксации](/authentication/managing-commit-signature-verification/signing-commits).
   

3.        [Подпишите теги](/authentication/managing-commit-signature-verification/signing-tags).
   

Не нужно отправлять открытый ключ в GitHub.

Дополнительные материалы

• Подписание фиксаций
• Подписывание тегов
• Устранение неполадок с проверкой подписи фиксации