Ваш код на вашому власному обладнанні

Ситуація. Вихідний код компанії зберігався в сторонньому хостинг‑сервісі — розумне для нього місце, але погано пасує бізнесу, головний аргумент якого для клієнтів — те, що він не передає їхніх даних посередникам. А мати власний git‑сервер означає справді його тримати: автентифікація, контроль доступу, сховище, резервні копії й публічне обличчя для всього цього.

Завдання. На наявному хості треба було розгорнути канонічний git‑сервер із якнайменшою поверхнею атаки й без вебпанелі адміністрування, а перед ним — цільову сторінку, яка не псуватиметься з часом.

Дія. Git‑сервер — це один бінарний файл, який запускає й контролює операційна система, встановлений зі сховища пакунків постачальника; його свідомо обрано за те, що він працює насамперед через SSH і не має адміністративного вебінтерфейсу: що менше інтерфейсу, то менше треба захищати. Він приватний за замовчуванням: анонімний доступ заборонено, доступ без ключа заборонено, і кожен задекларований репозиторій позначено як приватний, а не покладаються на те, що про нього ніхто не знає. Його SSH‑сервер слухає лише loopback‑інтерфейс на порту 23231, а ззовні до нього потрапляють через проміжний хост, тож задекларована поверхня брандмауера не зростає. Мультиплексор протоколів, який розводив би HTTPS і git через SSH на одному публічному порту за першими байтами з’єднання, написано й підготовлено за головним вимикачем, і цей вимикач вимкнено: багатокористувацький git через публічний порт поки не потрібен, а порт, яким ніхто не користується, — це теж поверхня атаки. Цікавішою задачею виявилася цільова сторінка перед ним. Вона була копією дизайну головного сайту, яку вручну підтримували в окремому репозиторії, і кожна відмінність між ними, будь‑коли знайдена, виявилася випадковістю, а не рішенням: типографічна шкала, через яку текстовий логотип виходив приблизно на дев’ять відсотків завеликим, оголошення шрифту, яке на будь‑якій машині зі встановленою гарнітурою зводило дві насиченості до однієї, орнаменти, приховані нижче певної ширини, тож на жодному телефоні їх не було, насиченість, для якої не постачався шрифт, і жодна сторінка не мала ні орієнтира main, ні заголовка верхнього рівня. П’ять із п’яти, і жодної не видно на знімку екрана. Копію видалено; тепер цільову сторінку збирають шаблони самого головного сайту, а постачається вона як артефакт.

Результат. Компанія тримає власний код на власному обладнанні, а сторінка перед ним успадковує всі перевірки, які проходить головний сайт, а не розходиться з ним так, що це видно лише вимірюванням. Розійтися з ним досі можна, але тепер таке рішення треба записати.