O Github para Mac instala um servidor da Web, “github conduit.” Isso é um risco de segurança?

Question

O Github for Mac é um aplicativo útil fornecido gratuitamente pelas pessoas do Github.com . É uma interface gráfica do Mac OS X para operações simples com o git e funciona muito bem.

Acontece que, quando visito um repositório no github.com com meu navegador e tento clonar o repositório, o JavaScript no navegador tenta se comunicar com um servidor do meu computador instalado pelo aplicativo GitHub, chamado “ github conduit . ”Se não puder se comunicar, quando eu tentar clonar um repositório, clicarei em“ Clonar na área de trabalho ”no GitHub página da Web, recebo um anúncio para o aplicativo, em vez de ter o repo clonado. Aqui está o acesso de acordo com o monitor de rede no Chrome:

Request URL:https://ghconduit.com:25035/status
Request Headers
Provisional headers are shown
Origin:https://github.com
Referer:https://github.com/BoltsFramework/Bolts-Android
User-Agent:Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/38.0.2125.122 Safari/537.36
X-DevTools-Emulate-Network-Conditions-Client-Id:00AF4013-DCE9-FF8D-32B2-9FA7D33BE9B5

Eu perguntei isso com o suporte do GitHub e eles me encaminharam para este artigo de suporte . Isso diz:

When you run GitHub for Mac, it automatically launches Conduit and tells Mac OS X to keep it alive. Thus, if Conduit crashes or you terminate it with Activity Monitor or kill, it will relaunch, even if GitHub for Mac is not running.

Isso me surpreendeu. Ter o JavaScript no meu navegador conversando com um servidor local de algum tipo, sobre o qual eu sei pouco, parece ser um possível risco à segurança, especialmente porque isso não foi explicado quando eu instalei o aplicativo GitHub.

Isso é razoável? Eu deveria estar preocupado se meu navegador pode falar com este servidor?

    

Answer 1

Sim, você deveria estar preocupado com isso. Qualquer site pode detectar se você tem o GitHub para Mac instalado, detectando se o ghconduit.com é carregado ou não. Por exemplo:

<script src="https://ghconduit.com:25035/status"onload="alert('GitHub for Mac is installed.')" onerror="alert('GitHub for Mac is not installed.')"></script>

Um site malicioso pode usar isso para rastrear usuários ou segmentar anúncios para programadores, todos os navegadores. Felizmente, nenhuma empresa parece estar fazendo isso.