論文の概要: A Multi-Month Study of Git Commit Signing

• arxiv url: http://arxiv.org/abs/2608.29283v1
• Date: Sat, 29 Aug 2026 14:07:00 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-03 12:52:56.395728
• Title: A Multi-Month Study of Git Commit Signing
• Title（参考訳）: Gitコミット署名の多カ月間調査
• Abstract要約: 2012年に導入されたGitコミット署名は、ソフトウェアサプライチェーンにおけるコミット証明を確立するメカニズムのひとつだ。 我々は,大学院・大学院のコンピュータサイエンスの学生を対象に3ヶ月にわたる研究を行った。 約半数が署名保証や鍵管理に関して少なくとも1つの誤解を表明している。
• 参考スコア（独自算出の注目度）: 2.2991119948183534
• License: http://creativecommons.org/licenses/by-nc-nd/4.0/
• Abstract: Git commit signing, introduced in 2012, is one mechanism for establishing commit provenance in software supply chains, yet developer-controlled adoption remains rare and developers' experiences using it are understudied. To examine this experience, we conducted a three-month study with senior undergraduate and graduate computer science students (n = 22), whom we treat as proxies for junior developers. Participants configured commit signing independently, used it across four coursework projects, extended it to a second device, examined an external repository containing anomalous commits, and answered security-reasoning prompts. We found that while almost all participants successfully signed every commit and rated routine signing positively, many faced friction during setup, multi-device configuration, and repository verification. Despite signing all semester, they struggled to spot anomalous commits during verification, with over a quarter finding none. Additionally, nearly half expressed at least one misconception regarding signing guarantees or key management. Without isolating whether these difficulties stemmed from tooling, education, or understanding, we conclude that making signing easier is not enough to ensure effective security use. Rather, secure adoption also requires tools and education that support signature verification against authorized identities, interpretation of missing signatures and unknown keys, and correct reasoning about key-lifecycle operations.
• Abstract（参考訳）: 2012年に導入されたGitコミット署名は、ソフトウェアサプライチェーンにおけるコミット証明を確立するメカニズムのひとつだが、開発者管理による採用は依然として稀であり、それを使用した開発者の経験は検討されていない。 この経験を考察するため,大学院生および大学院コンピュータサイエンスの学生(n=22)を対象に3カ月間調査を行った。 参加者は個別にコミット署名を設定し、それを4つのコースワークプロジェクト間で使用し、それを第2のデバイスに拡張し、異常なコミットを含む外部リポジトリを調べ、セキュリティ対策のプロンプトに回答した。 ほぼすべての参加者がすべてのコミットにサインし、評価済みのルーチンに肯定的な署名をしましたが、セットアップやマルチデバイス構成、リポジトリの検証といった摩擦に直面していました。 学期中ずっと契約していたにもかかわらず、検証中に異常なコミットを見つけるのに苦労し、1/4以上は見つからなかった。 さらに、約半数が署名保証や鍵管理に関して少なくとも1つの誤解を表明している。 これらの困難がツールや教育、理解に起因しているかどうかを判断することなく、署名を容易にすることは、効果的なセキュリティ使用を保証するのに十分ではないと結論付けます。 むしろ、安全な採用には、認証されたアイデンティティに対する署名検証、行方不明なシグネチャと未知のキーの解釈、キーライフサイクル操作に関する正しい推論をサポートするツールと教育が必要である。

関連論文リスト

• Vero: Can AI Agents Build Formally Verified Software Repositories? [45.09790101960906]
  Veroはリポジトリレベルで共同実装と証明を評価する最初のベンチマークである。 Python、Dafny、Verus、Coqにまたがる実世界のリポジトリから43のマルチモジュールインスタンスが含まれている。 ベンチマークの信頼性を改善するため、Veroには、エージェントが提供された仕様の不満足さを正式に証明できる監査メカニズムも含まれている。
  論文  参考訳（メタデータ） (2026-08-13T17:41:27Z)
• Analysis of Commit Signing on Github [2.1045887299238855]
  私たちは71,694人のアクティブなGitHubユーザを調査し、少なくとも1つのコミットを作成したアカウントとして定義しました。 6%以上の開発者が自身でコミットにサインしたことはなく、明らかな署名者の大多数は、Webブラウザ外でサインインしたことがない。 署名キーはGitHubにアップロードされないため、8人に1人が開発者管理シグネチャの検証に失敗している。
  論文  参考訳（メタデータ） (2026-04-15T15:57:07Z)
• Effective Strategies for Asynchronous Software Engineering Agents [52.76455094324273]
  本稿では,集中型タスクデリゲート,非同期実行,独立したワークスペースという,3つのSWEプリミティブに根ざした構造化マルチエージェント協調パラダイムを導入する。 CAIDは,紙再生タスク(PaperBench)では26.7%,Pythonライブラリ開発タスクでは14.3%,単一エージェントベースラインでは26.7%の精度向上を実現している。
  論文  参考訳（メタデータ） (2026-03-23T02:26:35Z)
• TOM-SWE: User Mental Modeling For Software Engineering Agents [75.28749912645127]
  ToM-SWEは、プライマリ・ソフトウェア・エンジニアリング(SWE)エージェントとライトウェイト・オブ・ミンド(ToM)パートナーエージェントを組み合わせたデュアルエージェントアーキテクチャである。 ToM-SWEは、ユーザー目標、制約、およびインストラクションとインタラクション履歴から好みを推測する。 2つのソフトウェアエンジニアリングベンチマークでは、ToM-SWEはタスクの成功率とユーザの満足度を改善する。
  論文  参考訳（メタデータ） (2025-10-24T16:09:51Z)
• Trace: Securing Smart Contract Repository Against Access Control Vulnerability [58.02691083789239]
  GitHubはソースコード、ドキュメント、設定ファイルを含む多数のスマートコントラクトリポジトリをホストしている。 サードパーティの開発者は、カスタム開発中にこれらのリポジトリからコードを参照、再利用、フォークすることが多い。 スマートコントラクトの脆弱性を検出する既存のツールは、複雑なリポジトリを扱う能力に制限されている。
  論文  参考訳（メタデータ） (2025-10-22T05:18:28Z)
• Usability of Token-based and Remote Electronic Signatures: A User Experience Study [0.0]
  本研究では,トークンベースとリモートシグネチャという2つの主要な電子署名システムを実証的に評価し,比較する。 リモート電子署名はトークンベースのものよりもはるかに有用であると見なされる。 より多くの参加者が文書署名のために遠隔電子署名を好んだが、統計的には重要ではなかった。
  論文  参考訳（メタデータ） (2025-05-24T18:21:06Z)
• On the Prevalence and Usage of Commit Signing on GitHub: A Longitudinal and Cross-Domain Study [1.834753484317836]
  5年以上にわたってGitHubリポジトリに確認されたコミットの存在を調査した。 これらの60のリポジトリのコミットのうち、10%のみが検証されている。 我々はGitHubのEvents APIに基づいてコミットオーナシップを特定する方法を提案する。
  論文  参考訳（メタデータ） (2025-04-27T12:39:50Z)
• Bridging the Gap: A Comparative Study of Academic and Developer Approaches to Smart Contract Vulnerabilities [5.052062767357937]
  スマートコントラクトのセキュリティ脆弱性を修正するために,Solidity開発者が採用した戦略について検討する。 非整合性コミットから文献ではこれまで議論されていなかった27の新たな定着戦略を特定した。 これらの新興パターンは、未調査領域におけるスマートコントラクトを確保するための実行可能なソリューションを提供する。
  論文  参考訳（メタデータ） (2025-04-16T19:20:00Z)
• Are Users More Willing to Use Formally Verified Password Managers? [46.01440321321548]
  正式な検証がユーザに与える影響を理解するために,2つの実験を設計,実装する。 パスワードマネージャに対する信頼の欠如が採用率を低下させる可能性があることが文書化されているので、パスワードマネージャのアプリケーションドメインに焦点を当てる。 我々は,形式的検証がユーザにとって望ましいものとみなし,形式的検証コミュニケーションを改善するための3つの行動的勧告を同定する。
  論文  参考訳（メタデータ） (2025-04-02T20:57:49Z)
• Why Johnny Signs with Next-Generation Tools: A Usability Case Study of Sigstore [10.88933151812096]
  我々は次世代署名の先駆的かつ広く採用されているSigstoreのユーザビリティスタディを行った。 本研究では,(1)実践者のツール選択に伴う問題点とメリット,(2)署名ツールの使用が時間とともにどのように発展してきたか,(3)ユーザビリティを懸念する文脈について検討した。 本研究は,次世代署名ツールのユーザビリティ要因を解明し,ツールメーカー,組織,研究コミュニティに推奨するものである。
  論文  参考訳（メタデータ） (2025-03-01T00:59:18Z)
• DiVerify: Hardening Identity-Based Software Signing with Programmable Diverse-Context Scopes [11.521573335215239]
  最先端のIDベースのコード署名スキームには大きな欠点がある。 署名が生成されるコンテキストに関する検証可能な情報の提供に失敗する。 本稿では,検証の単一源への依存度を低減させる多種多様なアイデンティティ検証手法を提案する。
  論文  参考訳（メタデータ） (2024-06-21T18:53:52Z)
• Signing in Four Public Software Package Registries: Quantity, Quality, and Influencing Factors [4.944550691418216]
  パッケージメンテナは、ソフトウェア署名を通じてパッケージオーサシップを保証できる。 この慣習がどの程度一般的か、結果のシグネチャが適切に作成されるかどうかは不明である。
  論文  参考訳（メタデータ） (2024-01-26T03:55:36Z)
• On the Security Blind Spots of Software Composition Analysis [46.1389163921338]
  Mavenリポジトリで脆弱性のあるクローンを検出するための新しいアプローチを提案する。 Maven Centralから53万以上の潜在的な脆弱性のあるクローンを検索します。 検出された727個の脆弱なクローンを検出し、それぞれに検証可能な脆弱性証明プロジェクトを合成する。
  論文  参考訳（メタデータ） (2023-06-08T20:14:46Z)
• FedSOV: Federated Model Secure Ownership Verification with Unforgeable Signature [60.99054146321459]
  フェデレートラーニングにより、複数のパーティがプライベートデータを公開せずにグローバルモデルを学ぶことができる。 本稿では,FedSOVという暗号署名に基づくフェデレート学習モデルのオーナシップ検証手法を提案する。
  論文  参考訳（メタデータ） (2023-05-10T12:10:02Z)
• Secure access system using signature verification over tablet PC [62.21072852729544]
  我々は,シグネチャ検証を用いたWebベースのセキュアアクセスのための,高度に汎用的でスケーラブルなプロトタイプについて述べる。 提案アーキテクチャは,様々な種類のセンサや大規模データベースで動作するように容易に拡張することができる。
  論文  参考訳（メタデータ） (2023-01-11T11:05:47Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。