Jeres kode på jeres eget udstyr

Situation. Virksomhedens kildekode lå hos en tredjeparts hostingtjeneste, og det er et rimeligt sted for den, men det passer dårligt til en forretning, hvis argument over for kunderne er, at den ikke overlader deres data til mellemled. At køre en forge selv betyder at køre en forge: autentificering, adgangskontrol, lagring, sikkerhedskopier og en offentlig forside til den.

Opgave. Der skulle sættes en kanonisk git‑server op på den eksisterende vært med den mindst mulige angrebsflade og uden administrationspanel på nettet, og foran den en landingsside, der ikke forfalder.

Handling. Forgen er en enkelt binærfil, der overvåges af styresystemet og er installeret fra leverandørens pakkerepository, og den er bevidst valgt, fordi den er SSH‑først og ikke har nogen administrativ webgrænseflade — jo mindre grænseflade, jo mindre at forsvare. Den er privat som standard: anonym adgang afvises, adgang uden nøgle afvises, og hvert erklæret repository er markeret som privat i stedet for at stole på, at ingen finder det. Dens SSH‑lytter binder kun til loopback‑grænsefladen på port 23231 og nås udefra gennem en jump host, så firewallens erklærede angrebsflade ikke vokser. En protokolmultiplexer, der kan lægge HTTPS og git over SSH på én offentlig port ved at inspicere de første bytes af en forbindelse, er skrevet og klar bag en hovedafbryder, og den afbryder er slået fra: der er endnu ikke brug for git med flere brugere over den offentlige port, og en lytter, som ingen bruger, er angrebsflade. Landingssiden foran den var det mere interessante problem. Den havde været en håndvedligeholdt kopi af hovedsitets design i sit eget repository, og hver eneste forskel, der nogensinde var fundet mellem de to, viste sig at være et uheld og ikke en beslutning: en typografisk skala, der gengav ordmærket omkring ni procent for stort, en fonterklæring, der slog to vægte sammen til én på enhver maskine, hvor familien var installeret, ornamenter, der var skjult under en bestemt bredde og derfor manglede på alle telefoner, en vægt, der blev brugt, uden at der fulgte en font med til den, og hverken et main‑landmærke eller en overskrift på øverste niveau på nogen side. Fem ud af fem, og ikke én af dem synlig på et skærmbillede. Kopien blev slettet; landingssiden bygges nu af hovedsitets egne skabeloner og leveres som et artefakt.

Resultat. Virksomheden hoster sin egen kode på sin egen hardware, og siden foran den arver alle de tjek, hovedsitet består, i stedet for at glide væk fra det på måder, som kun en måling kan se. Det er stadig muligt at afvige, men det skal nu skrives ned.