{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub est\u00e1 endureciendo las reglas relacionadas con la publicaci\u00f3n de resultados de investigaciones de seguridad.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub ha publicado cambios en las reglas que definen la pol\u00edtica sobre la publicaci\u00f3n de exploits y resultados de investigaciones de malware, as\u00ed como sobre el cumplimiento de la Ley de Derechos de Autor en la Era Digital (DMCA) de EE. UU. Los cambios est\u00e1n actualmente en estado de borrador, disponible para discusi\u00f3n durante 30 d\u00edas. <\/p>\n
En las reglas de cumplimiento del DMCA, adem\u00e1s de la prohibici\u00f3n existente de la distribuci\u00f3n y provisi\u00f3n de instalaci\u00f3n o entrega de malware activo y exploits, se han a\u00f1adido las siguientes condiciones: <\/p>\n
\n
Se proh\u00edbe expl\u00edcitamente la inclusi\u00f3n en los repositorios de tecnolog\u00edas para eludir los mecanismos de protecci\u00f3n de derechos de autor, incluidos los claves de licencia, as\u00ed como programas para generar claves, eludir la verificaci\u00f3n de claves y prolongar el periodo gratuito de uso.\n
Se introduce un procedimiento para presentar solicitudes de eliminaci\u00f3n de dicho c\u00f3digo. A quien presente la solicitud de eliminaci\u00f3n se le requiere proporcionar detalles t\u00e9cnicos, con la intenci\u00f3n declarada de someter esta solicitud a revisi\u00f3n antes de la prohibici\u00f3n.\n
En caso de prohibici\u00f3n del repositorio, se promete asegurar la posibilidad de exportar issues y PRs, y ofrecer servicios jur\u00eddicos. <\/ul>\n
Los cambios realizados en las reglas sobre exploits y malware tienen en cuenta las cr\u00edticas surgidas tras la eliminaci\u00f3n por parte de Microsoft de un prototipo de exploit para Microsoft Exchange, utilizado para llevar a cabo ataques. En las nuevas reglas se intenta separar expl\u00edcitamente el contenido que representa un peligro y se utiliza para llevar a cabo ataques activos, del c\u00f3digo que acompa\u00f1a las investigaciones en el \u00e1mbito de la seguridad. Los cambios introducidos son: <\/p>\n
\n
No solo est\u00e1 prohibido atacar a los usuarios de GitHub mediante la publicaci\u00f3n de contenido con exploits o usar GitHub como medio para la entrega de exploits, como suced\u00eda anteriormente, sino tambi\u00e9n publicar c\u00f3digo malicioso y exploits que faciliten la realizaci\u00f3n de ataques activos. En t\u00e9rminos generales, no est\u00e1 prohibida la publicaci\u00f3n de ejemplos de exploits preparados durante investigaciones de seguridad que involucren vulnerabilidades ya corregidas, pero todo depender\u00e1 de c\u00f3mo se interprete el t\u00e9rmino \"ataques activos\".\n
Por ejemplo, la publicaci\u00f3n en cualquier forma de c\u00f3digos fuente de JavaScript que atacan un navegador entra en este criterio: nada impide al atacante cargar el c\u00f3digo fuente en el navegador de la v\u00edctima utilizando fetch, parchearlo autom\u00e1ticamente si el prototipo del exploit se publica de manera inoperante, y ejecutarlo. Lo mismo ocurre con cualquier otro c\u00f3digo, como el de C++, ya que no hay nada que impida compilarlo en la m\u00e1quina atacada y ejecutarlo. Al descubrir un repositorio con dicho c\u00f3digo, se planea no eliminarlo, sino restringir su acceso. <\/p>\n
Se traslad\u00f3 el apartado anterior, que proh\u00edbe el \"spam\", las manipulaciones, la participaci\u00f3n en el mercado de manipulaciones, programas para violar las reglas de sitios web, el phishing y sus intentos.\n
Se ha a\u00f1adido un punto que explica la posibilidad de presentar una apelaci\u00f3n en caso de desacuerdo con el bloqueo.\n
Se ha a\u00f1adido un requisito para los propietarios de repositorios que, en el marco de investigaciones de seguridad, albergan contenido potencialmente peligroso. La existencia de tal contenido debe ser mencionada expl\u00edcitamente al inicio del archivo README.md, y en el archivo SECURITY.md deben proporcionarse los datos de contacto para comunicaci\u00f3n. Se ha indicado que, en general, GitHub no elimina exploits publicados junto con investigaciones de seguridad para vulnerabilidades ya divulgadas (no 0-day), pero se reserva el derecho de restringir el acceso si considera que persiste el riesgo de uso de dichos exploits para ataques reales y si se reciben quejas en el soporte de GitHub sobre el uso de c\u00f3digo para ataques. <\/ul>\n