GitHub verschärft die Richtlinien für die Veröffentlichung von Ergebnissen sicherheitstechnischer Forschungen

GitHub hat Änderungen an den Regeln veröffentlicht, die die Richtlinien für das Hosting von Exploits und Ergebnissen von Malware-Forschung sowie die Einhaltung des geltenden US-Urheberrechtsgesetzes (DMCA) betreffen. Die Änderungen befinden sich derzeit in einem Entwurf und sind 30 Tage lang zur Diskussion verfügbar.

In die DMCA-Einhaltungsregeln wurden zusätzlich zu dem zuvor bestehenden Verbot der Verbreitung und der Bereitstellung oder Lieferung aktiver Malware und Exploits folgende Bedingungen aufgenommen:

• Ein ausdrückliches Verbot, Technologien zur Umgehung technischer Schutzmaßnahmen des Urheberrechts in Repositories unterzubringen, einschließlich Lizenzschlüsseln sowie Programmen zur Generierung von Schlüsseln, zur Umgehung von Schlüsselüberprüfungen und zur Verlängerung von kostenlosen Nutzungsmöglichkeiten.
• Es wird ein Verfahren zur Einreichung von Anträgen auf Löschung solchen Codes eingeführt. Der Antragsteller muss technische Details bereitstellen, mit der erklärten Absicht, diesen Antrag zur Prüfung einzureichen, bevor eine Sperrung erfolgt.
• Bei der Sperrung eines Repositories wird versprochen, die Möglichkeit zu bieten, Issues und PRs zu exportieren und rechtliche Dienstleistungen anzubieten.

Die vorgenommenen Änderungen zu den Regeln bezüglich Exploits und Malware berücksichtigen die Kritik, die nach der Löschung eines Exploit-Prototyps für Microsoft Exchange durch Microsoft laut wurde, der für Angriffe verwendet wurde. In den neuen Richtlinien wird versucht, den Inhalt, der eine Gefahr darstellt und für aktive Angriffe verwendet wird, und den Code, der Sicherheitsforschung begleitet, ausdrücklich zu trennen. Die vorgenommenen Änderungen sind:

• Es ist nicht nur verboten, Benutzer von GitHub durch das Hosting von Inhalten mit Exploits anzugreifen oder GitHub als Liefermittel für Exploits zu verwenden, wie es zuvor war, sondern auch, schädlichen Code und Exploits, die mit aktiven Angriffen verbunden sind, zu hosten. Im Allgemeinen ist das Hosting von Beispielen für Exploits, die im Rahmen von Sicherheitsforschungen erstellt wurden und sich auf bereits behobene Schwachstellen beziehen, nicht verboten, aber alles hängt davon ab, wie der Begriff „aktive Angriffe“ interpretiert wird.

  Beispielsweise fällt die Veröffentlichung in irgendeiner Form von Quelltexten des JavaScript-Codes, der den Browser angreift, unter dieses Kriterium – dem Angreifer steht nichts im Weg, um den Quellcode über fetch in den Browser des Opfers zu laden, ihn automatisch zu patchen, falls das Exploit-Prototyp in einer nicht funktionierenden Form veröffentlicht wird, und ihn auszuführen. Ähnliches gilt für jeden anderen Code, beispielsweise in C++ – nichts hindert daran, ihn auf der angegriffenen Maschine zu kompilieren und auszuführen. Beim Auffinden eines Repositories mit solchem Code ist geplant, es nicht zu löschen, sondern den Zugriff darauf zu sperren.

• Der im Text höher verschobene Abschnitt, der „Spam“, Manipulationen, die Teilnahme am Markt der Manipulationen, Programme zur Verletzung der Regeln irgendwelcher Websites, Phishing und dessen Versuche verbietet.
• Ein Punkt wurde hinzugefügt, der die Möglichkeit der Einreichung einer Berufung im Falle einer Uneinigkeit mit der Sperre erläutert.
• Eine Anforderung an die Besitzer von Repositories wurde hinzugefügt, in denen im Rahmen von Sicherheitsforschungen potenziell gefährliche Inhalte veröffentlicht werden. Das Vorhandensein solcher Inhalte muss zu Beginn der README.md-Datei ausdrücklich erwähnt werden, und in der SECURITY.md-Datei müssen Kontaktdaten bereitgestellt werden. Es wurde angegeben, dass GitHub im Allgemeinen keine Exploits löscht, die zusammen mit Sicherheitsforschungen für bereits offengelegte Schwachstellen (nicht 0-Day) veröffentlicht werden, sich aber das Recht vorbehält, den Zugriff einzuschränken, wenn es der Auffassung ist, dass ein Risiko für den Einsatz dieser Exploits bei realen Angriffen besteht und Beschwerden bei GitHub über die Verwendung des Codes für Angriffe eingehen.

Quelle: opennet.ru