Git · Senior · Frage 26 von 76
Warum beweist ein signierter Commit trotzdem nicht, dass der Code sicher ist?
- 1Er beweist, wer committet hat, nicht was der Code tut
- 2Signaturen lassen sich entfernen, ohne den Hash zu ändern
- 3Nur Tags lassen sich signieren, keine Commits
Antwort zeigen
Richtige Antwort: Er beweist, wer committet hat, nicht was der Code tut
Erklärung
Eine Signatur authentifiziert den Schlüsselinhaber; ein kompromittierter Schlüssel oder ein bösartiger Maintainer signiert trotzdem. Signieren ist eine Schicht der Supply-Chain-Sicherheit neben Review und geschützten Branches.