为什么公司不允许 ssh 链接 gitlab

[breadykidliu]

遇到 3 家公司不允许了，前两家是员工个位数的小作坊，搭建 gitlab 的人技术菜，我可以理解。
但是现在入职了中厂，有专门的的运维部门，运维人也不少，也不允许 ssh ，只能密码链接。
觉得无法理解，是有什么安全问题吗？

[littlewing]

应该是不让开放 22 端口

[hefish]

我搭的 gitlab 也不开 ssh ，http 也不开，为了安全。 提交都是用移动硬盘复制给指定的人然后合并的。

[edis0n0]

@hefish #42 我们都是用纸笔写代码的，为了安全，雇个大学生每天把纸上的代码手敲进去，把执行结果抄回来

[Nitroethane]

@SteveRogers 很好奇是怎样的代码违规？能举个例子吗

[SekiBetu]

可能设了一些安全机制

[adoal]

劳动异化就变样了。专职安全岗位的人对安全的考虑，跟有安全意识、安全理念和安全技能的其他岗位（比如开发）是不太一样的。他们不但要从技术上考虑系统的“正常”安全加固，还要跟各种没有安全意识和能力的其他人员搏斗，要去补木桶的最短板，因此经常会采取一些在非安全岗位但有安全能力的技术人员眼中很没必要的沙雕措施。更何况，这是他们的岗位，所以除了对技术之外，也要（甚至更多地）考虑成本 /收益核算，考虑性价比，也包括考虑怎样给自己增加 KPI （哪怕会给业务运行或者技术开发带来一定的麻烦）。

[adoal]

安全岗位也不过是一口饭而已。照本宣科的大有人在。

[JohnBull]

上面信誓旦旦的几位谁能给我解释解释，为什么用 http 就能防止把公司代码传到外网？

[swulling]

@JohnBull 公司所有终端设备上装 root ca ，然后安全设备做中间人攻击，分析 https 内容是否有公司代码上传到 github 之类。ssh 协议直接防火墙 ban 掉。

[JohnBull]

@swulling 这种外网安全需求应该从外网访问的策略上限制啊，为什么让大家用 ssh 上传到公司自己的服务器也不行呢，这就叫懒政

[azuis]

@swulling 那这样 Gitlab 在内网也不影响防火墙 Drop 公网的 SSH 的。

[GTim]

因为，大部分人都不知道 git-shell 这东西。

[swulling]

@JohnBull
@azuis 至于内网，多数是多一事不如少一事。安全扫描 ssh 端口，但是又分不清楚哪个是 git 的。

加白名单需要逐级审批，不如一禁了之。

[Inn0Vat10n]

在阿里集团 gitlab ssh/http 都支持，没有限制，自己选择

[dnsaq]

@f6x 笑死了，你自己去记端口吧，干脆也别用域名了直接用 IP 吧，你行你上就是了

[IvanLi127]

@jwangkun Git 服务的 SSH 协议很危险吗？这货不是不支持远程登录进终端么，为啥说风险大？求科普

[dnsaq]

@IvanLi127 个人觉得安全性两种方式都一样，但是安全这个东西是个硬指标。最小化权限原则，就和企业服务器不允许对外开放 ssh 一样，能不开就不开。既然 gitlab 已经提供了 http 的方式就没必要再多开一个了。任何做法没有对与错，也无需大厂比较，自己爱咋用咋用。 觉得内网就安全的我只能说太年轻了，尤其是没做隔离的情况。 说人家菜的我只能说傻逼

[ladypxy]

无他，菜。
SSH 也可以配合 yubikey 之流做认证，完全不需要担心 ssh key 泄漏后的安全问题

[liximomo]

如果是安全原因，那么 github.com 是不是早就应该被黑客干烂了？

[darklinden]

gitlab 可以设置其他端口 ssh 访问啊，都不知道吗？不让用 22 可以换别的
而且 git 账户 ssh 是低权，ssh 远程登录也是不开放的