L’histoire paraît compliquée, mais elle est finalement assez simple (sauf nouveau rebondissement). Tout est parti de l’annonce par resynth1943 de la publication du code source de GitHub… dans le dépôt officiel GitHub DMCA par un utilisateur « Nat », comme le rapporte Ars Technica. La plateforme d'hébergement de code et de gestion des versions n’est pour rappel pas open source.

Cela soulève donc deux questions : comment le code source a été récupéré et comment a-t-il été publié ? Nat Friedman (CEO de GitHub) explique qu’il ne s’agit pas du code source du service à proprement parler mais de celui de l'édition Enterprise Server qui est proche, mais différent. Celle-ci est proposée aux clients souhaitant un hébergement sur leurs propres serveurs.

Sa distribution se fait habituellement « dans un format simplifié et obfusqué ». Problème, le code source complet a été envoyé par erreur il y a quelques mois à certains clients. C'est cela qui s'est retrouvé mis en ligne.

Reste la seconde question : comment le code source a été mis en ligne dans le dépôt DMCA en se faisant passer pour l’utilisateur Nat, faisant penser à Nat Friedman ? Ars Technica rappelle que GitHub « permet aux utilisateurs de mettre ce qu’ils souhaitent dans les champs user.name et user.email. Cela rend l’usurpation triviale », ce que confirme Friedman.

Seule solution pour prouver son identité et éviter ce genre de déboires : signer les commits, ce que le CEO recommande de faire. Un label « vérifié » apparaît alors à côté du nom d’utilisateur. Concernant la publication dans le dépôt DMCA, c’est une « illusion d’optique ». Un fork du dépôt a été créé puis une URL a été utilisée pour donner l'impression que le commit avait été effectué sur le dépôt principal.

Pour Friedman « tout va bien », car il n’y a pas eu de piratage… il y a néanmoins matière à améliorer la sécurité sur plusieurs points.