Hinzufügen von sicherheitsrelevanten Dateien zur .gitignore

[napolitano]

Die folgenden Dateien enthalten sicherheitsrelevante Informationen, die von Kriminellen oder anderen Akteuren zum Schaden des Urhebers missbraucht werden können, wenn sie öffentlich zugänglich sind oder bei Dritten gespeichert und in Folge eines Sicherheitsvorfalls in die Hände Unbefugter gelangen:

• abbildungen/unterschrift.png
• thesis_main.pdf
• thesis_englisch.pdf

Die betreffenden Dateien sollten der .gitignore hinzugefügt werden. Ergänzend/Alternativ sollte ein entsprechender Hinweis in die Dokumentation mit aufgenommen werden.

Mögliche Missbrauchsmöglichkeiten:

• Fälschung von Unterschriften auf Verträgen und Urkunden
• Identitätsdiebstahl
• Erfassung in Datenbanken

Sofern die bereits im Repository abgelegte Unterschrift echt ist, sollte diese zumindest mit dem nächsten Commit durch einen offensichtlichen Dummy ersetzt oder sogar komplett entfernt werden (entsprechende Ergänzung in der Dokumentation erforderlich, damit das Rendering sauber durchläuft)

[andygrunwald]

Hey @napolitano,

danke für das Ticket. Ich find auch klasse, dass in einem solchen Projekt jemand auf Security achtet.

Die Datei abbildungen/unterschrift.png ist eine Dummy-Unterschrift. Dies wurde auch explizit in der Commit Message erwähnt. Siehe 76fc7b4
Deswegen denke ich, dass man diese selbst im Repository lassen kann.

Für die Daten thesis_main.pdf und thesis_englisch.pdf die aktuell im Repository sind, sehe ich keinen Grund diese zu entfernen. Prinzipiell weil diese einen einfachen Zugriff auf das fertig kompilierte Resultat geben.

Ob dies für Forks, also Leute die ihre akademische Arbeit mit dieser Vorlage schreiben, auch gelten sollte ist eine gute Frage. Ich denke akademische Forschungsarbeit sollte frei verfügbar sein. Somit auch Bachelor, Master und Doktor-Arbeiten.
Wenn ich das richtig verstehe, listest du diese beiden Dateien auf, weil diese ebenfalls die Unterschrift im Dokument zeigen, oder?

In wie weit eine Unterschrift selbst, sicherheitsrelevant ist, kann ich schlecht beurteilen. Meines Wissens nach kann eine Unterschrift von der ein und selben Person von dem ein auf den anderen Tag anders aussehen und ist dennoch gültig. Dies habe ich mal gehört, müsste erneut geprüft werden, ob dies wahr ist.
Wenn dem jedoch so ist, dann schützt die "Geheimhaltung" einer solchen Datei im Repository nicht.

Einen entsprechenden Absatz in der README / Dokumentation zu dem Thema könnte dennoch sinnvoll sein. Würdest du einen entsprechenden Pull Request machen wollen?

Lass mich mal wissen das du denkst.