GitHub har offentliggjort ændringer i reglerne, der definerer politikken for offentliggørelse af exploits og resultater af malware-forskning, samt overholdelsen af den gældende amerikanske lov om ophavsret i den digitale tidsalder (DMCA). Ændringerne er i øjeblikket i udkast og tilgængelige for diskussion i 30 dage.
I DMCA-overholdelsesreglerne, udover den tidligere omtalte forbud mod distribution og tilvejebringelse af aktiv malware og exploits, er der tilføjet følgende betingelser:
- Der er et tydeligt forbud mod at inkludere teknologier i repositories, der omgår tekniske midler til beskyttelse af ophavsret, herunder licensnøgler samt programmer til at generere nøgler, omgå kontrol af nøgler og forlænge gratis brug.
- Der indføres en procedure for indsendelse af anmodninger om fjernelse af sådan kode. Den, der indsender anmodningen om fjernelse, skal give tekniske detaljer med en erklæret hensigt om at videregive denne anmodning til ekspertvurdering inden blokkering.
- Ved blokering af et repository lover man at sikre muligheden for at eksportere issues og PR'er og tilbyde juridiske tjenester.
Ændringerne af reglerne vedrørende exploits og malware tager højde for kritikken, der blev fremført efter, at Microsoft fjernede prototypen af et exploit til Microsoft Exchange, der blev brugt til at udføre angreb. De nye regler forsøger tydeligt at adskille indhold, der udgør en trussel og bruges til at udføre aktive angreb, fra kode, der ledsager sikkerhedsforskning. De ændringer, der er foretaget:
- Det er forbudt ikke kun at angribe GitHub-brugere ved at offentliggøre indhold med exploits eller bruge GitHub som et middel til at levere exploits, som det tidligere har været, men også at offentliggøre ondsindet kode og exploits, der er forbundet med gennemførelse af aktive angreb. Generelt er det ikke forbudt at offentliggøre eksempler på exploits udviklet under sikkerhedsforskning, der vedrører allerede rettede sårbarheder, men det afhænger af, hvordan termen «aktive angreb» fortolkes.
For example, posting any form of source JavaScript code that attacks a browser falls under this criterion — the attacker can easily load the source code into the victim's browser using fetch, automatically patching it if the exploit prototype is published in a non-functional state, and executing it. The same goes for any other code, such as in C++ — nothing prevents it from being compiled on the attacked machine and executed. When a repository with such code is discovered, it is planned not to be deleted but to restrict access to it.
- The section above in the text prohibits 'spam', manipulations, participation in the manipulation market, programs that violate the rules of any websites, phishing, and attempts thereat.
- An item has been added explaining the possibility of filing an appeal in case of disagreement with the blocking.
- A requirement has been added for repository owners where potentially dangerous content is hosted within security research. The presence of such content must be explicitly mentioned at the beginning of the README.md file, and contact information must be provided in the SECURITY.md file. It is stated that GitHub generally does not delete exploits published along with security research for already disclosed vulnerabilities (not 0-day), but reserves the right to limit access if it deems that there remains a risk of using these exploits for actual attacks, and complaints about the use of the code for attacks are received by GitHub support.
Kilde: opennet.ru
