[do-not-merge] Neden commitleri imzalamalıyız?

[ooguz]

Warning

Bu PR birleştirilsin diye değil yalnızca örnek olsun diye açılmıştır.

AAAA O DA NE??? Linus Torvalds benim depoma katkı vermiş?!

Ancak maalesef durum öyle değil. Git¹ sizin kim olduğunuzu bilmez, yalnızca aşağıdaki komutlarla ayarladığınız kullanıcı isminizi ve e-postanızı bilir, bunları da doğrulayamaz.

git config --global user.name "Linus Torvalds"
git config --global user.email [email protected]

GitHub'a birden fazla e-posta eklenebildiği dikkatinizi çekmiştir, bunun sebebi farklı e-postalarla (ör. kişisel, şirket, dernek, başka şirket vb.) atılan commitlerin GitHub üzerinde hesabınızla ilişkilendirilebilmesidir. GitHub aksi halde sırf depo size ait diye commitleri size yazmaz. Bunu kendinize ait ama farklı bir e-postayı confige yazıp, GitHub üzerinde size ait olan bir depoyu commitleyerek deneyebilirsiniz. Commitin üzerinde sizin fotoğrafınız çıkmayacaktır.

Bu da doğal olarak şu sorunu beraberinde getiriyor: Başka insanlar, istediği herhangi birinin adına commit atabilir. Kişisel veya ufak projelerde bu sorun yaratmayabilir gibi düşünebilirsiniz ama düşünün ki milyonlarca cihazda çalışan bir kodunuz var ve bir PR geliyor, commit geçmişine baktığınızda commitler arasında birlikte çalıştığınız birisini görüyorsunuz, o committeki değişikliğin gerçekten o kişi tarafından yapıldığını nasıl doğrulayabilirsiniz?

Elbette ki GPG ile!

Herhangi bir commiti GPG anahtarınızla imzaladığınızda, imzalamayı yapabileceğiniz anahtar varsayılan olarak yalnızca sizde olacağı için karşı tarafa ilgili değişikliği gerçekten sizin yaptığınızı da kanıtlamış oluyorsunuz.

Ek okumalar:

• ÖYD Güvenlik Rehberi - GnuPG
• ÖYD Güvenlik Rehberi - GnuPG ile Git

Footnotes

1. Git != GitHub ↩

[hwpplayer1]

Warning

Bu PR birleştirilsin diye değil yalnızca örnek olsun diye açılmıştır.

AAAA O DA NE??? Linus Torvalds benim depoma katkı vermiş?!

Ancak maalesef durum öyle değil. Git1 sizin kim olduğunuzu bilmez, yalnızca aşağıdaki komutlarla ayarladığınız kullanıcı isminizi ve e-postanızı bilir, bunları da doğrulayamaz.

git config --global user.name "Linus Torvalds"
git config --global user.email [email protected]

GitHub'a birden fazla e-posta eklenebildiği dikkatinizi çekmiştir, bunun sebebi farklı e-postalarla (ör. kişisel, şirket, dernek, başka şirket vb.) atılan commitlerin GitHub üzerinde hesabınızla ilişkilendirilebilmesidir. GitHub aksi halde sırf depo size ait diye commitleri size yazmaz. Bunu kendinize ait ama farklı bir e-postayı confige yazıp, GitHub üzerinde size ait olan bir depoyu commitleyerek deneyebilirsiniz. Commitin üzerinde sizin fotoğrafınız çıkmayacaktır.

Bu da doğal olarak şu sorunu beraberinde getiriyor: Başka insanlar, istediği herhangi birinin adına commit atabilir. Kişisel veya ufak projelerde bu sorun yaratmayabilir gibi düşünebilirsiniz ama düşünün ki milyonlarca cihazda çalışan bir kodunuz var ve bir PR geliyor, commit geçmişine baktığınızda commitler arasında birlikte çalıştığınız birisini görüyorsunuz, o committeki değişikliğin gerçekten o kişi tarafından yapıldığını nasıl doğrulayabilirsiniz?

Elbette ki GPG ile!

Herhangi bir commiti GPG anahtarınızla imzaladığınızda, imzalamayı yapabileceğiniz anahtar varsayılan olarak yalnızca sizde olacağı için karşı tarafa ilgili değişikliği gerçekten sizin yaptığınızı da kanıtlamış oluyorsunuz.

Ek okumalar:

• ÖYD Güvenlik Rehberi - GnuPG
• ÖYD Güvenlik Rehberi - GnuPG ile Git

Footnotes

1. Git != GitHub ↩

Katkınız için hem bireysel olarak size hem de tüm Özgür Yazılım Derneği katkıcılarına çok teşekkür ederiz. Bu PR'ı açık tutmak ister misiniz ? Veya bağlantısını alıp Discussions bölümüne mi taşıyalım ? Forum gibi olur ve gelen soruları yanıtlamaya çalışır ve destek olabilirim.

Görüşmek dileğiyle !