Sul sito GitHub c'è un link ...

https://help.github.com/articles/generating-ssh-keys

... e afferma ...

Se hai deciso di non utilizzare il metodo HTTPS consigliato, possiamo utilizzare le chiavi SSH per stabilire una connessione sicura tra il tuo computer e GitHub. I passaggi seguenti ti guideranno attraverso la generazione di una chiave SSH e quindi l'aggiunta della chiave pubblica al tuo account GitHub.

Perché HTTPS è il metodo raccomandato? C'è una sorta di difetto di sicurezza nel metodo SSH o è più lento? Ho creato una chiave SSH, quindi ciò mitigherebbe eventuali problemi di sicurezza?

GitHub ha modificato più volte la sua raccomandazione ( esempio ).

Sembra che attualmente raccomandino HTTPS perché è il più semplice da configurare sulla più ampia gamma di reti e piattaforme e dagli utenti che non conoscono tutto questo.

Non esiste alcun difetto intrinseco in SSH (se fosse presente lo disabiliterebbero) - nei collegamenti seguenti vedrai che forniscono ancora dettagli anche sulle connessioni SSH:

1. È meno probabile che HTTPS venga bloccato da un firewall.

   https://help.github.com/articles/which-remote-url-should-i-use/

   Gli URL https: // clone sono disponibili su tutti i repository, pubblici e privati. Questi URL funzionano ovunque, anche se ti trovi dietro un firewall o un proxy.

2. Una connessione HTTPS consente credential.helperdi memorizzare nella cache la password.

   https://help.github.com/articles/set-up-git

   Buono a sapersi: l'helper delle credenziali funziona solo quando si clona un URL repository HTTPS. Se si utilizza invece l'URL repository SSH, le chiavi SSH vengono utilizzate per l'autenticazione. Anche se non lo consigliamo, se si desidera utilizzare questo metodo, consultare questa guida per assistenza nella generazione e utilizzo di una chiave SSH.

Presumo che HTTPS sia raccomandato da GitHub per diversi motivi

1) È più semplice da usare ovunque, poiché sono necessari solo i dettagli del tuo account (non sono necessarie chiavi SSH)

2) HTTPS È una porta aperta in tutti i firewall. SSH non è sempre aperto come porta per la comunicazione con reti esterne

Un repository GitHub è quindi più universalmente accessibile tramite HTTPS rispetto a SSH.

A mio avviso, le chiavi SSH valgono il piccolo lavoro extra per crearle

1) Le chiavi SSH non forniscono accesso al tuo account GitHub, quindi il tuo account non può essere dirottato se la tua chiave viene rubata,

2) L'uso di una frase chiave forte con la chiave SSH limita qualsiasi uso improprio, anche se la chiave viene rubata

Se le credenziali del tuo account GitHub (nome utente / password) vengono rubate, la password di GitHub può essere modificata per impedirti l'accesso e tutti i tuoi repository condivisi possono essere rapidamente eliminati.

Se viene rubata una chiave privata, qualcuno può fare un push forzato di un repository vuoto e cancellare tutta la cronologia delle modifiche per ogni repository che possiedi, ma non può cambiare nulla nel tuo account GitHub. Sarà molto più facile provare il recupero da questa violazione di te avere accesso al tuo account GitHub.

La mia preferenza è usare SSH con una chiave protetta da passphrase. Ho una chiave SSH diversa per ogni computer, quindi se quella macchina viene rubata o la chiave viene compromessa, posso accedere rapidamente a GitHub ed eliminare quella chiave per impedire l'accesso indesiderato.

SSH può essere tunnelato su HTTPS se la rete su cui ti trovi blocca la porta SSH.

https://help.github.com/articles/using-ssh-over-the-https-port/

Se usi HTTPS, consiglierei di aggiungere l'autenticazione a due fattori, per proteggere il tuo account e i tuoi repository.

Se si utilizza HTTPS con uno strumento (ad esempio un editor), è necessario utilizzare un token sviluppatore dal proprio account GitHub anziché il nome utente e la password della cache nella configurazione di tali strumenti.

O stai citando qualcosa di sbagliato o github ha raccomandazioni diverse su pagine diverse o possono imparare con il tempo e aggiornare la loro voce.

Si consiglia vivamente di utilizzare una connessione SSH quando si interagisce con GitHub. Le chiavi SSH sono un modo per identificare i computer fidati, senza coinvolgere le password. I passaggi seguenti ti guideranno attraverso la generazione di una chiave SSH e quindi l'aggiunta della chiave pubblica al tuo account GitHub.

https://help.github.com/articles/generating-ssh-keys

Abilitazione delle connessioni SSH su HTTPS se è bloccato dal firewall

Verifica se SSH sulla porta HTTPS è possibile, esegui questo comando SSH:

$ ssh -T -p 443 git@ssh.github.com
Hi username! You've successfully authenticated, but GitHub does not
provide shell access.

Se ha funzionato, fantastico! In caso contrario, potrebbe essere necessario seguire la nostra guida alla risoluzione dei problemi .

Se si è in grado di SSH git@ssh.github.comsulla porta 443 , è possibile sovrascrivere le impostazioni SSH per forzare qualsiasi connessione a GitHub per l'esecuzione su quel server e quella porta.

Per impostarlo nella tua configurazione ssh, modifica il file in ~/.ssh/confige aggiungi questa sezione:

Host github.com
  Hostname ssh.github.com
  Port 443

Puoi provare che funziona collegandosi ancora una volta a GitHub:

$ ssh -T git@github.com
Hi username! You've successfully authenticated, but GitHub does not
provide shell access.

Dall'autenticazione a GitHub / Utilizzo di SSH sulla porta HTTPS

Vedi anche: il funzionario Quale URL remoto dovrei usare? rispondere su help.github.com.

MODIFICARE:

Sembra che non sia più necessario avere accesso in scrittura a un repository pubblico per utilizzare un URL SSH, rendendo non valida la mia spiegazione originale.

ORIGINALE:

Apparentemente il motivo principale per favorire gli URL HTTPS è che gli URL SSH non funzioneranno con un repository pubblico se non si ha accesso in scrittura a quel repository.

L'uso di URL SSH è incoraggiato per la distribuzione su server di produzione, tuttavia - presumibilmente il contesto qui è rappresentato da servizi come Heroku.

È possibile sostenere che l'utilizzo della chiave SSH per l'autenticazione sia meno sicuro perché tendiamo a cambiare la nostra password più periodicamente di quanto non generiamo nuove chiavi SSH.

I server che limitano la durata della vita per la quale onoreranno date le chiavi SSH possono aiutare gli utenti a esercitarsi periodicamente nell'aggiornamento delle chiavi SSH.

Forse perché è più difficile rubare una password dal tuo cervello quindi rubare un file chiave dal tuo computer (almeno per quanto ne sappia, forse esistono già alcune sostanze o metodi ma questa è una discussione infinita)? E se proteggi la chiave con password, allora stai usando di nuovo una password e sorgono gli stessi problemi (ma alcuni potrebbero sostenere che devi fare più lavoro, perché devi ottenere la chiave e quindi decifrare la password).