O Github me permite confirmar como outro usuário

Question

Estou aprendendo a usar o Git, e percebi que não há controle sobre o user.name e o user.email ao se comprometer. Por exemplo, estou dentro do meu repositório. Eu posso mudar minha configuração local,

$ git config user.name "<someone's Github username>"
$ git config user.email "<someone's Github email>"

Então, eu me comprometo com algo e o pressiono. Meu nome de usuário e senha do Github serão solicitados.

Agora, parece que outro usuário do Github criou esse commit no meu repositório. !?

Estou sentindo falta de algo?

    

Answer 1

Uau, esta é uma excelente pergunta. Eu não entendo por que isso não tem recebido mais atenção (talvez porque não seja exatamente relacionado à segurança do que SU).

Há uma discussão sobre hackers sobre o assunto - link

Esta não é uma questão importante, mas você pode fazer alguns abusos graves com ela -

1. Você pode publicar os commits de pessoas famosas fazendo parecer que eles endossam seu projeto e contribuem ativamente para ele.
2. Você pode falsificar a quantidade de contribuidores que seu projeto realmente possui usando várias identidades de outros usuários reais do GitHub. (isso parecerá muito mais legítimo do que apenas usar e-mails aleatórios)
3. Você pode convencer alguém a mesclar uma solicitação pull em seu projeto, fazendo-o pensar que a maioria dos commits vem de outro usuário confiável

Recentemente o GitHub foi criticado por também permitir que os proprietários de projetos editassem comentários de usuários respondendo em seu projeto faz parecer que eles escreveram coisas que não escreveram, o que pode levar a sérios abusos. Isso é uma coisa muito parecida.

Como outras respostas mencionaram, foi assim que o Git foi criado. em um repositório interno, você não se importa muito com essas coisas e principalmente se preocupa com o gerenciamento de código e não com a reputação. O GitHub, por outro lado, é uma ferramenta social e deve se preocupar com a reputação pública do usuário (como mencionado na discussão de hackers que pode ser resolvida com criptografia PK. Muitos usuários já têm PK atribuída à sua conta do GitHub para permissões de envio ser usado para assinar commits)

    

Answer 2

O Git não tem como saber quem é o autor do quê. Como isso poderia saber? Tudo o que está fazendo é relatar o que você diz para reportar. Lixo, lixo fora.

É absolutamente normal e rotineiro para uma pessoa comprometer o trabalho de outra pessoa.