GitHubのコミット検証ロジックの欠陥とバイパス
GitHubのコミット署名検証には、UI上で「Verified(検証済み)」と表示されるバッジが、実際にはコミッター鍵のみを検証しているという論理的な欠陥がある。作成者(author)とコミッター(committer)は別人物でもよく、攻撃者は他人のGPG鍵を使わずに、著名な開発者(例:Linus Torvalds)の名前を詐称し、緑色のチェックマークを表示させることが可能。GitHubはこの問題を認識しており「部分的に検証済み」ステータスを用意しているが、それは被害者側が自らVigilant Modeを有効にしなければ機能しない、被害者依存の防御設計となっている。