{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub versch\u00e4rft die Regeln f\u00fcr die Ver\u00f6ffentlichung von Ergebnissen aus Sicherheitsforschung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub hat \u00c4nderungen an den Richtlinien ver\u00f6ffentlicht, die die Politik f\u00fcr das Hosting von Exploits und Ergebnissen von Malware-Forschung sowie die Einhaltung des in den USA geltenden Digital Millennium Copyright Act (DMCA) betreffen. Die \u00c4nderungen befinden sich derzeit im Entwurfsstatus und sind f\u00fcr Diskussionen \u00fcber einen Zeitraum von 30 Tagen zug\u00e4nglich. <\/p>\n
Neben dem zuvor bestehenden Verbot, aktives Malware und Exploits zu verbreiten oder bereitzustellen, wurden die folgenden Bedingungen in die DMCA-Einhaltungspolicy aufgenommen: <\/p>\n
\n
Ein ausdr\u00fcckliches Verbot, Technologien zum Umgehen von urheberrechtlichen Schutzma\u00dfnahmen in Repositories zu platzieren, einschlie\u00dflich Lizenzschl\u00fcssel sowie Software zum Generieren von Schl\u00fcsseln, Umgehen von Schl\u00fcsselpr\u00fcfungen und Verl\u00e4ngern von Testzeitr\u00e4umen.\n
Ein Verfahren f\u00fcr die Antragstellung zur Entfernung solchen Codes wird eingef\u00fchrt. Der Antragsteller muss technische Details bereitstellen und die Absicht erkl\u00e4ren, den Antrag zur \u00dcberpr\u00fcfung vorzulegen, bevor eine Sperrung erfolgt.\n
Bei der Sperrung eines Repositories wird versprochen, die M\u00f6glichkeit zum Exportieren von Issues und PRs zu gew\u00e4hrleisten und juristische Dienstleistungen anzubieten. <\/ul>\n
Die \u00c4nderungen der Regeln zu Exploits und Malware ber\u00fccksichtigen die Kritik, die nach der L\u00f6schung eines Exploit-Prototyps f\u00fcr Microsoft Exchange durch Microsoft laut wurde, der f\u00fcr Angriffe verwendet wurde. In den neuen Regeln wird der Versuch unternommen, den Inhalt, der Gefahren birgt und f\u00fcr aktive Angriffe genutzt wird, klar von dem Code, der sicherheitsrelevante Forschung unterst\u00fctzt, zu trennen. Die vorgenommenen \u00c4nderungen: <\/p>\n
\n
Es ist nicht nur verboten, GitHub-Nutzer durch das Ver\u00f6ffentlichen von Inhalten mit Exploits anzugreifen oder GitHub als Mittel zur Bereitstellung von Exploits zu nutzen, wie es fr\u00fcher der Fall war, sondern auch b\u00f6sartigen Code und Exploits, die mit aktiven Angriffen verbunden sind, hochzuladen. Im Allgemeinen ist das Ver\u00f6ffentlichen von Beispielen f\u00fcr Exploits, die im Rahmen von Sicherheitsforschung entwickelt wurden und bereits behobene Schwachstellen betreffen, nicht verboten; es h\u00e4ngt jedoch davon ab, wie der Begriff 'aktive Angriffe' interpretiert wird.\n
Zum Beispiel f\u00e4llt die Ver\u00f6ffentlichung des Quellcodes von JavaScript, der den Browser angreift, in diese Kategorie \u2013 einem Angreifer steht es frei, den Quellcode \u00fcber Fetch im Browser des Opfers zu laden, ihn automatisch zu patchen, wenn der Prototyp des Exploits in einer nicht funktionsf\u00e4higen Form ver\u00f6ffentlicht wurde, und ihn auszuf\u00fchren. Das Gleiche gilt f\u00fcr jeden anderen Code, etwa in C++ \u2013 nichts hindert daran, ihn auf der angegriffenen Maschine zu kompilieren und auszuf\u00fchren. Bei der Entdeckung eines Repositories mit solch einem Code ist geplant, es nicht zu l\u00f6schen, sondern den Zugriff darauf zu sperren. <\/p>\n
Der Abschnitt, der Spam, Manipulation, die Teilnahme am Markt f\u00fcr Manipulationen, Programme zur Verletzung der Regeln von Websites, Phishing und dessen Versuche verbietet, wurde weiter oben im Text verschoben.\n
Ein Punkt wurde hinzugef\u00fcgt, der die M\u00f6glichkeit einer Berufung im Falle einer Meinungsverschiedenheit mit der Sperrung erl\u00e4utert.\n
Eine Anforderung wurde an die Besitzer von Repositories hinzugef\u00fcgt, in denen potenziell gef\u00e4hrliche Inhalte im Rahmen von Sicherheitsforschungen bereitgestellt werden. Solche Inhalte m\u00fcssen zu Beginn der Datei README.md ausdr\u00fccklich erw\u00e4hnt werden, und im Dokument SECURITY.md m\u00fcssen Kontaktdaten zur Verf\u00fcgung gestellt werden. Es wurde klargestellt, dass GitHub im Allgemeinen Exploits, die zusammen mit Sicherheitsforschungen f\u00fcr bereits bekannte Schwachstellen (nicht 0-day) ver\u00f6ffentlicht werden, nicht entfernt, sich jedoch das Recht vorbeh\u00e4lt, den Zugang einzuschr\u00e4nken, wenn das Risiko besteht, dass diese Exploits f\u00fcr tats\u00e4chliche Angriffe genutzt werden, und Verbraucher Beschwerden \u00fcber die Verwendung des Codes f\u00fcr Angriffe bei GitHub einreichen. <\/ul>\n