開発者が、クラウドのサービスのAPIキーを含む設定ファイルを、誤って公開のGitリポジトリに登録してしまった。気づいてすぐに、そのファイルを削除する変更を登録した。この後に行うべき対応として、最も適切なものはどれか。

正解：B. 履歴に残り、すでに収集された可能性もあるので、キーをすぐ無効にして新しいキーに替え、悪用がないかを利用の記録で確かめる

Gitでは、ファイルを削除する変更を登録しても、以前の版は履歴に残り、誰でも取り出せます。公開のリポジトリは、認証情報を探すプログラムによって短い時間で自動的に調べられているので、公開された時点で漏えいしたものとして扱います。最も大切なのは、キーを無効にして新しいものに替えることで、そのうえで利用の記録を確かめ、必要なら履歴からも消します。再発を防ぐため、認証情報はシークレットの管理サービスに置き、登録の前に秘密の情報を検出する仕組み(シークレットスキャン)を使います。

• A. 履歴には古い版が残っていて、公開の間にすでに収集されたおそれもあります。
• B. 正しい。まずキーを無効にして替え、悪用の有無を確かめます。
• C. 名前を変えても、すでに複製された内容は消えず、キーが漏えいした事実は変わりません。