GitHub публикува промени в правилата, определящи политиката за публикуване на експлойти и резултати от изследвания на злонамерен софтуер, както и спазването на действащия в САЩ Закон за авторското право в цифровата ера (DMCA). Промените засега са в състояние на проект, достъпен за обсъждане в продължение на 30 дни.
В правилата за спазване на DMCA, освен посочената по-рано забрана за разпространение и предоставяне на активно злонамерен софтуер и експлойти, са добавени следните условия:
- Ясен забранителен ред за помещаване в репозиториите на технологии за заобикаляне на техническите средства за защита на авторските права, включително лицензионни ключове, както и програми за генериране на ключове, заобикаляне на проверката на ключовете и удължаване на безплатния период на работа.
- Въведен е ред за подаване на заявление за премахване на такъв код. От подателя на заявлението за премахване се изисква да предостави технически детайли, с декларирано намерение да предаде заявлението за експертиза преди блокиране.
- При блокирането на репозитория обещават да осигурят възможност за експортиране на issue и PR-и, и да предложат юридически услуги.
Промените, направени в правилата, касаещи експлоити и злонамерен софтуер, отчита критикувалите, появила се след премахването от компанията Microsoft на прототипа на експлоит за Microsoft Exchange, използван за извършване на атаки. В новите правила се опитва да се направи явно разграничение между съдържанието, предоставящо опасност и използвано за извършване на активни атаки, и кода, съпътстващ изследванията в областта на сигурността. Направените промени:
- Забранява се не само атакуването на потребители на GitHub чрез публикуване на съдържание с експлойти или използването на GitHub като средство за доставка на експлойти, както беше по-рано, но и публикуването на злонамерен код и експлойти, свързани с провеждането на активни атаки. В общ вариант не е забранено публикуването на примери на експлойти, подготвени в хода на изследвания за сигурност и засягащи вече поправени уязвимости, но всичко ще зависи от това как ще се интерпретира терминът „активни атаки“.
Например, публикуването на произволен вид JavaScript код, който атакува браузъра, попада под този критерий — злоумышленникът няма пречка да зареди оригиналния код в браузъра на жертвата чрез fetch, автоматично да го патчне, ако прототипът на експлойта е публикуван в неработещ вид, и да го изпълни. Аналогично при друг код, например на C++, — нищо не пречи да бъде компилиран на атакуваната машина и изпълнен. При откритие на репозиторий с подобен код, той ще бъде затворен за достъп, вместо да бъде изтрит.
- Пренесеният по-горе раздел, забраняващ практиките на „спам“, манипулации, участие на пазара на манипулации, програми за нарушаване на правилата на сайтовете, фишинг и неговите опити.
- Добавен е раздел с пояснение относно възможността за подаване на апелация в случай на несъгласие с блокировката.
- Добавено е изискване към собствениците на репозитории, в които в рамките на изследванията по сигурност се публикува потенциално опасно съдържание. Наличието на такова съдържание трябва да бъде ясно отбелязано в началото на README.md файла, а в SECURITY.md файла трябва да са предоставени контактни данни за връзка. Уточнено е, че GitHub по принцип не изтрива експлойти, публикувани съвместно с изследвания по сигурност за вече разкрити уязвимости (не 0-day), но си запазва правото да ограничи достъпа, ако счете, че съществува риск от употребата на тези експлойти за реални атаки и в техническа поддръжка на GitHub постъпват оплаквания за използването на кода за атаки.
Източник: opennet.ru
