{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub versch\u00e4rft die Richtlinien f\u00fcr die Ver\u00f6ffentlichung von Ergebnissen sicherheitstechnischer Forschungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub hat \u00c4nderungen an den Regeln ver\u00f6ffentlicht, die die Richtlinien f\u00fcr das Hosting von Exploits und Ergebnissen von Malware-Forschung sowie die Einhaltung des geltenden US-Urheberrechtsgesetzes (DMCA) betreffen. Die \u00c4nderungen befinden sich derzeit in einem Entwurf und sind 30 Tage lang zur Diskussion verf\u00fcgbar. <\/p>\n
In die DMCA-Einhaltungsregeln wurden zus\u00e4tzlich zu dem zuvor bestehenden Verbot der Verbreitung und der Bereitstellung oder Lieferung aktiver Malware und Exploits folgende Bedingungen aufgenommen: <\/p>\n
\n
Ein ausdr\u00fcckliches Verbot, Technologien zur Umgehung technischer Schutzma\u00dfnahmen des Urheberrechts in Repositories unterzubringen, einschlie\u00dflich Lizenzschl\u00fcsseln sowie Programmen zur Generierung von Schl\u00fcsseln, zur Umgehung von Schl\u00fcssel\u00fcberpr\u00fcfungen und zur Verl\u00e4ngerung von kostenlosen Nutzungsm\u00f6glichkeiten.\n
Es wird ein Verfahren zur Einreichung von Antr\u00e4gen auf L\u00f6schung solchen Codes eingef\u00fchrt. Der Antragsteller muss technische Details bereitstellen, mit der erkl\u00e4rten Absicht, diesen Antrag zur Pr\u00fcfung einzureichen, bevor eine Sperrung erfolgt.\n
Bei der Sperrung eines Repositories wird versprochen, die M\u00f6glichkeit zu bieten, Issues und PRs zu exportieren und rechtliche Dienstleistungen anzubieten. <\/ul>\n
Die vorgenommenen \u00c4nderungen zu den Regeln bez\u00fcglich Exploits und Malware ber\u00fccksichtigen die Kritik, die nach der L\u00f6schung eines Exploit-Prototyps f\u00fcr Microsoft Exchange durch Microsoft laut wurde, der f\u00fcr Angriffe verwendet wurde. In den neuen Richtlinien wird versucht, den Inhalt, der eine Gefahr darstellt und f\u00fcr aktive Angriffe verwendet wird, und den Code, der Sicherheitsforschung begleitet, ausdr\u00fccklich zu trennen. Die vorgenommenen \u00c4nderungen sind: <\/p>\n
\n
Es ist nicht nur verboten, Benutzer von GitHub durch das Bereitstellen von Inhalten mit Exploits anzugreifen oder GitHub als Mittel zur Bereitstellung von Exploits zu nutzen, wie es fr\u00fcher der Fall war, sondern auch sch\u00e4dlichen Code und Exploits zu ver\u00f6ffentlichen, die mit aktiven Angriffen verbunden sind. Im Allgemeinen ist es nicht verboten, Beispiele f\u00fcr Exploits, die im Rahmen von Sicherheitsforschungen entwickelt wurden und bereits behobene Schwachstellen betreffen, bereitzustellen, aber alles h\u00e4ngt davon ab, wie der Begriff \u201eaktive Angriffe\u201c interpretiert wird.\n
Beispielsweise f\u00e4llt die Ver\u00f6ffentlichung von Quelltexten von JavaScript-Code, der den Browser angreift, unter dieses Kriterium \u2013 dem Angreifer steht es frei, den Quellcode im Browser des Opfers mithilfe von fetch zu laden, ihn automatisch zu patchen, wenn der Prototyp des Exploits in nicht funktionsf\u00e4higer Form ver\u00f6ffentlicht wurde, und ihn auszuf\u00fchren. Das Gleiche gilt f\u00fcr jeden anderen Code, zum Beispiel in C++ \u2013 nichts hindert daran, ihn auf der angegriffenen Maschine zu kompilieren und auszuf\u00fchren. Wenn ein Repository mit solchem Code entdeckt wird, ist nicht geplant, es zu l\u00f6schen, sondern den Zugriff darauf zu sperren. <\/p>\n
Der oben im Text verlegte Abschnitt, der \u201eSpam\u201c, Manipulationen, die Teilnahme am Markt f\u00fcr Manipulationen, Programme zur Verletzung von Regeln irgendwelcher Websites, Phishing und dessen Versuche verbietet.\n
Ein Punkt wurde hinzugef\u00fcgt, der die M\u00f6glichkeit der Einreichung einer Berufung im Falle einer Uneinigkeit mit der Sperre erl\u00e4utert.\n
Eine Anforderung an die Besitzer von Repositories wurde hinzugef\u00fcgt, in denen im Rahmen von Sicherheitsforschungen potenziell gef\u00e4hrliche Inhalte ver\u00f6ffentlicht werden. Das Vorhandensein solcher Inhalte muss zu Beginn der README.md-Datei ausdr\u00fccklich erw\u00e4hnt werden, und in der SECURITY.md-Datei m\u00fcssen Kontaktdaten bereitgestellt werden. Es wurde angegeben, dass GitHub im Allgemeinen keine Exploits l\u00f6scht, die zusammen mit Sicherheitsforschungen f\u00fcr bereits offengelegte Schwachstellen (nicht 0-Day) ver\u00f6ffentlicht werden, sich aber das Recht vorbeh\u00e4lt, den Zugriff einzuschr\u00e4nken, wenn es der Auffassung ist, dass ein Risiko f\u00fcr den Einsatz dieser Exploits bei realen Angriffen besteht und Beschwerden bei GitHub \u00fcber die Verwendung des Codes f\u00fcr Angriffe eingehen. <\/ul>\n