GitHub zveřejnil změny pravidel, která určují politiku týkající se umisťování exploitů a výsledků výzkumu malware, stejně jako dodržování platného zákona o autorském právu v digitální éře (DMCA) ve Spojených státech. Změny jsou zatím ve stádiu návrhu, který je k diskuzi po dobu 30 dnů.
Do pravidel dodržování DMCA, kromě dříve přítomného zákazu šíření a zajištění instalace nebo dodání aktivního malware a exploitů, byly přidány následující podmínky:
- Výslovný zákaz umisťování technologií k obcházení technických prostředků ochrany autorských práv, včetně licenčních klíčů, stejně jako programů pro generování klíčů, obcházení kontroly klíčů a prodloužení bezplatného období.
- Byl zaveden postup podání žádosti o odstranění takového kódu. Od žadatele o odstranění se vyžaduje poskytnutí technických detailů, se deklarovaným záměrem předat tuto žádost ke zkoumání před blokováním.
- Při blokování repozitáře se slibuje zajištění možnosti exportovat issues a pull requesty, a nabídnout právní služby.
Změny provedené v pravidlech, týkajících se exploitů a malware, zohledňují kritiku, která zazněla po odstranění prototypu exploitu pro Microsoft Exchange, použitého k provádění útoků společností Microsoft. V nových pravidlech byla učiněna snaha o výslovné oddělení obsahu, který představuje nebezpečí a používá se k provádění aktivních útoků, od kódu doprovázejícího výzkum v oblasti bezpečnosti. Prováděné změny:
- Není zakázáno pouze útočit na uživatele GitHubu umisťováním obsahu s exploitmi nebo používat GitHub jako prostředek dodání exploitů, jak tomu bylo dříve, ale také umisťovat malware a exploity, které souvisejí s prováděním aktivních útoků. V obecné rovině není zakázáno umisťovat příklady exploitů, které byly připraveny v průběhu bezpečnostních výzkumů a týkají se již opravených zranitelností, ale vše bude záviset na tom, jak bude interpretován termín 'aktivní útoky'.
Například, publikace jakékoli formy původního JavaScriptového kódu, který útočí na prohlížeč, spadá pod toto kritérium — útočníkovi nic nebrání v tom, aby načetl původní kód do prohlížeče oběti pomocí fetch, automaticky ho upravil, pokud je prototyp exploitů zveřejněn v nefunkční podobě, a vykonal. Stejně tak s jakýmkoli jiným kódem, například v C++, — nic nebrání jeho zkompilaci na napadeném stroji a vykonání. Při nalezení repozitáře s podobným kódem se plánuje jeho neodstranění, ale uzavření přístupu.
- Převedený výše uvedený oddíl zakazující „spam“, umělé zvyšování, účast na trhu umělého zvyšování, programy porušující pravidla jakýchkoli webů, phishing a jeho pokusy.
- Byl přidán bod s vysvětlením možnosti podání odvolání v případě nesouhlasu s blokací.
- Byla přidána požadavek na vlastníky repozitářů, v nichž se v rámci bezpečnostního výzkumu nachází potenciálně nebezpečný obsah. Přítomnost takového obsahu musí být jasně uvedena na začátku souboru README.md a v souboru SECURITY.md musí být poskytnuty kontaktní údaje pro komunikaci. Je uvedeno, že GitHub obecně neodstraňuje exploitů zveřejněné spolu s bezpečnostním výzkumem pro již zveřejněné zranitelnosti (ne 0-day), ale vyhrazuje si právo omezit přístup, pokud usoudí, že existuje riziko použití těchto exploitů pro skutečné útoky a do podpory GitHubu přicházejí stížnosti na používání kódu pro útoky.
Zdroj: opennet.ru
