GitHub führt vertrauliche Kommentare für Sicherheitswarnungen in Repositories ein

GitHub hat vertrauliche Kommentare für Sicherheitswarnungen in Repositories (Repository Security Advisories) eingeführt. Dies ermöglicht es Repository-Maintainern, Sicherheitsmeldungen intern zu besprechen, ohne diese Notizen mit externen Meldern oder eingeladenen Mitwirkenden zu teilen.

Steuerung der internen Diskussion

Vor diesem Update war jeder Kommentar zu einer Sicherheitswarnung auf GitHub für alle am Bericht beteiligten Personen sichtbar. Wenn Maintainer verdächtigen Missbrauch prüfen, vertrauliche interne Abstimmungen durchführen oder Rohdaten analysieren wollten, mussten sie Gespräche häufig auf externe Kanäle verlagern, um den Meldern keine Details vorzeitig offenzulegen.

Mit dem neuen System können Nutzer vor dem Absenden eine vertrauliche Option unterhalb des Kommentarfeldes auswählen. Vertrauliche Eintrags-Elemente werden in der Zeitleiste der Sicherheitswarnung deutlich gekennzeichnet und bleiben für alle Personen ohne Schreibrechte für das Repository verborgen.

Zugriffsregeln und API-Einschränkungen

Die Zugriffsrechte für diese Kommentare passen sich dynamisch an die Berechtigungen des Repositories an. Verliert ein Nutzer den Schreibzugriff auf das Repository, verliert er automatisch die Möglichkeit, bestehende vertrauliche Kommentare einzusehen. Um Compliance-Anforderungen von Unternehmen zu unterstützen, zeichnet GitHub Zugriffe auf vertrauliche Kommentare im Audit-Log der Organisation auf.

Entwickler sollten einige funktionale Einschränkungen beachten. Die Sichtbarkeitseinstellungen eines Kommentars können nach dem Veröffentlichen nicht mehr geändert werden. Integrationen, die auf der GraphQL-API aufbauen, können auf vertrauliche Kommentare zugreifen, in den Antworten der REST-API sind sie jedoch ausgeschlossen.

Verfügbarkeit in den verschiedenen Tarifen

Vertrauliche Kommentare stehen für öffentliche Repositories zur Verfügung, bei denen die private Meldung von Schwachstellen (Private Vulnerability Reporting) aktiviert ist. Die Funktion ist in den Kontosegmenten GitHub Free, GitHub Pro, GitHub Team und GitHub Enterprise Cloud nutzbar.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Confidential comments on repository security advisories