githubにcacert.pemをプッシュしてもいいのか

Question

Web開発初学者です。
LaravelからYoutubeAPIを使うときに証明書がないとエラー(SSL certificate problem: ...)が出たので
証明書(https://curl.se/docs/caextract.html)をプロジェクト内に含めました。
この証明書ってgithubに上げるべきではないですかね...。

初歩的な質問ですみませんが、教えてもらえると助かります。

Answer 1

この証明書ってgithubに上げるべきではないですかね...。

インターネットで誰でもダウンロードできるものなのですが、逆に何が問題だと考えましたでしょうか？

Comments

[takutec]

配布された証明書と全く同じものをアップロードしているので、このファイルにライセンスや著作権があったら抵触するのかもしれない、と考えました。
また、この証明書を使っていることが悪意のある人にわかったとき、送信データの盗聴や盗聴されたことによってGoogleに不正ログインされる可能性があるのかどうかが気になりました。

[maisumakun]

> 配布された証明書と全く同じものをアップロードしているので、このファイルにライセンスや著作権があったら抵触するのかもしれない

サイトの下の方に「MPL 2.0」と明記してあります。ライセンス条件に従えば何も問題ありません。

> また、この証明書を使っていることが悪意のある人にわかったとき、送信データの盗聴や盗聴されたことによってGoogleに不正ログインされる可能性があるのかどうか

これは、基本的にはFirefoxに搭載されているルート証明書の束と同じものです。特殊な証明書を運用するために特別なルート証明書を入れたのならともかく、「このルート証明書を使っている」ことからわかるのは「SSL接続を行っている」こと程度です。

Answer 2

LaravelからYoutubeAPIを使うとき

YouTubeのアカウントが乗っ取られますがよろしいか？
よろしくないと思うので対策を考えましょう。

もしGitのコミット履歴に一時的にでもアクセス情報が含まれている場合
コミット履歴を遡って検索して抜き取るような事も出来ますので、
すぐにリポジトリを削除するか、非公開設定にする必要があります。

もし既に公開済みになってしまっているならば、
YouTube APIの管理者用ページから、
クレデンシャルID等の情報を削除して作り直すべきです。

マジな話で、YouTubeのアカウントを乗っ取られかねない
超重要なIDとパスワードのセットだという意識を持って行動してください。

---

さて、実はこういう情報、全世界のWeb系エンジニア共通の課題です。
こういう情報をどうやって管理するんやって問題にぶち当たります。

企業で公開していてもAWSのDBのログイン情報とか、
YouTubeのAPIの情報でないにしろ
何らかのクリティカルな情報を乗せて走らせる必要がありますからね。

一番簡単な方法は、
GitHubのリポジトリをPrivate（非公開）に設定して立ち上げる事です。
こうしておけば悪意の第三者が勝手に閲覧して悪用される事はまずないでしょう。

他には信頼できそうなクラウドストレージを契約するとか
そういったもので管理する案もあります。
ちょっとくらいアナログな作業でもええやんね。

---

それでも不安だという企業は
社内にGitHubを移植出来るGitHub Enterpriseとかのサービスを受けるなどして
社内のサーバでクリティカルな情報を管理します。

他にもさくらインターネットみたいな会社のパソコンやサーバーマシンを預かってくれるハウジング契約を使ったり

大金を払ってでも流出の可能性を極限まで減らしたい企業は
そういう選択肢もあるって事ですね。

Comments

[maisumakun]

今回の話とは別件ですね。

[takutec]

YoutubeAPIの認証情報はプッシュしないように設定しています。クリティカルな情報を安全に管理方法って色々あるのですね。
ありがとうございます！

Answer 3

公開のリポジトリなら、誰でもその内容を見ることができます
それでよければご自由にというところですね