【事故】记一次意外把企业项目放到GitHub并被fork，如何使用DMCA下架政策保障隐私

前言

🍊缘由

在一个月黑风高的夜晚，正准备休息的我突然接到之前外包老总的亲切问候。一顿输出才知道三年前为了搭建流程化部署，将企业的测试代码放到github上后忘记删除。现在被甲方的代码扫描机制扫到，并且检查到代码已经被其他用户fork，虽没有造成损失，但要求清除github所有数据及被fork的代码。以此为戒，特来跟大家分享一下处理流程，重点是GitHub的DMCA 下架通知提交指南。

⏲️本文阅读时长

约10分钟

🎯主要目标

熟悉GitHub的DMCA 下架通知提交指南
代码涉密被别人fork如何在GitHub安全下架
掌握申诉流程及申诉时间点把控

正文

🍋1.判断政策分类

DMCA 下架政策包含如下两种，根据自己情况如是选择。

1.GitHub 私人信息删除政策

“私人信息”是指符合以下条件的内容：应该保密，并且一旦公开，会对您或您的组织造成特定安全风险。

白话：通俗来讲就是没有版权，涉及到个人私密的文件。如果想删除库中单个文件审核比较轻松，若是想删除整个库可能难度较大。所需材料如下：

可访问您组织的服务器、网络或域的访问凭据，例如用户名与密码组合、访问令牌或其他敏感密钥。
可代表您访问第三方的 AWS 令牌和其他类似访问凭据。您必须能够证明该令牌确实属于您。
对组织构成特定安全风险的文档（例如网络图或架构）。
与您个人相关并对您构成安全风险的信息（如社会保障号码或其他政府身份号码）。

2.GitHub 商标政策

在使用企业或企业名称、徽标或其他受商标保护的材料时，如果使用方式可能使他人对品牌或业务从属关系产生误解或感到困惑，则此类使用可能被视为违反商标政策。

白话：通俗来讲就是侵犯到版权，被人举报侵权等，此审核所需材料较多，如下：

被举报帐户的用户名
贵企业名称
您的企业 GitHub 帐户（如果有）
企业网站
您商标中使用的词语、符号等。
商标注册号
......等等

🍏2.处理步骤

GitHub 私人信息删除政策

1.访问GitHub 私人信息删除政策申请地址

https://support.github.com/contact/private-information

在这里插入图片描述

2.解析每条问题如何选择及回复

Company GitHub account (if applicable)
🏳️‍🌈翻译：企业 GitHub 帐户（如果适用）

此处选择【Not Applicable/Other】(不适用/其他)

Is the content you're reporting copyrighted work that you own?
🏳️‍🌈翻译：您报告的内容是您拥有的受版权保护的作品吗？

此处选择【No】(不是)。此处也可选择YES，如果有版权保护可以直接通过【GitHub 商标政策】申请即可

Is your request related to a full repository or a specific file(s)?
🏳️‍🌈翻译：您的请求与完整存储库或特定文件相关吗？

此处根据个人情况选择,若要删除整个库可能审核费劲，若选择删除单独文件则比较好通过。

Please identify the content you are reporting. Select all that apply.
🏳️‍🌈翻译：请指明您举报的内容。选择所有符合条件的。

此处根据个人情况选择,其中包含如下5种选项，切记如果勾选，请把项目中涉及的敏感内容具体分布及多少行写清楚，有助于审核通过

Access Credentials.【访问凭证】
AWS tokens and other similar access credentials.【AWS 令牌和其他类似的访问凭证】
Documentation (such as network diagrams or architecture) that poses a specific security risk for an organization. 【对组织构成特定安全风险的文档】
Information related to, and posing a security risk to, you as an individual (such as social security numbers or other government identification numbers).【与您个人相关并构成安全风险的信息（例如社会安全号码或其他政府身份证号码）】

🌰 举个本狗申请例子，本人勾选了Access Credentials，然后填写了具体内容

It contains a lot of private information. 
For example, the application-prod.yml configuration file under the path /src/main/resources/contains personal private database configuration information (address, account, password). For example, the sixth line of the application-prod.yml file contains the url of the database, and the seventh and eighth lines contain the database account password username: hrgc, password: xxx xxx. For another example, line 70 contains the key information of my bug component apikey: xxx.Also, in/src/main/java/com/xxx/user/api/XXXApi.java, line 12 and 13 contain the KEY and SECRET required by the user center, completely exposing private information. Others can break my server and database information through the information in the application-prod.yml file, which involves personal privacy and constitutes a security risk.

All contents of the following repository have been deleted.
https://github.com/xxxx/xxxx

However, the content can still be found in the link below. If personal information is involved, please delete it.
https://github.com/xxx/xxxxx-trunk
https://github.com/xxx/xxxxx-trunk

翻译如下

它包含很多私人信息。
例如/src/main/resources/路径下的application-prod.yml配置文件包含个人私有数据库配置信息（地址、账号、密码）。 例如application-prod.yml文件第六行包含数据库的url，第七行和第八行包含数据库账号密码username：hrgc，password：xxx xxx。 再比如，第70行包含了我的bug组件apikey的关键信息：xxx.另外，在/src/main/java/com/xxx/user/api/XXXApi.java中，第12行和13行包含了需要的KEY和SECRET 通过用户中心，彻底暴露隐私信息。 其他人可以通过application-prod.yml文件中的信息破解我的服务器和数据库信息，涉及个人隐私，存在安全隐患。

以下存储库的所有内容已被删除。
https://github.com/xxxx/xxxx

但是，仍然可以在下面的链接中找到内容。 如涉及个人信息，请删除。
https://github.com/xxx/xxxxx-trunk
https://github.com/xxx/xxxxx-trunk

Have you attempted to contact the GitHub user(s) who uploaded the sensitive data?
🏳️‍🌈翻译：您是否尝试联系上传敏感数据的 GitHub 用户？

此处根据个人情况选择,询问是否自己尝试联系过fork自己代码的GitHub用户，无关紧要，本狗选择【No】

Is the request particularly time-sensitive?
🏳️‍🌈翻译：该请求是否对时间特别敏感？

询问是否着急，对时间要求紧。本狗选择【No】如果写Yes还需要描述：报告的数据暴露了多长时间？您是否可以分享任何您认为会使此请求特别紧迫的信息？

Are you a third party acting as an agent for an organization facing a security risk?
🏳️‍🌈翻译：您是作为面临安全风险的组织的代理的第三方吗？

本狗选择【No】如果写Yes还需要描述：请附上一份声明，说明您有合法权利代表该组织行事。

How long has the reported content been publicly available?
🏳️‍🌈翻译：举报的内容公开多久了？

本狗选择【24+ months】因为是三年前项目了，公开了3年之久了。此处可根据自己实际情况选择即可。

I confirm that I have read the GitHub Private Information Removal Policy
🏳️‍🌈翻译：我确认我已阅读 GitHub 私人信息删除政策

此处勾选同意即可

3.申请总览图

在这里插入图片描述

4.点击【发送请求】

如果成功GitHub会回执一分邮件，告知你已经接受到

在这里插入图片描述

GitHub 商标政策

1.访问GitHub 商标政策申请地址

https://support.github.com/contact/dmca-takedown