{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub kehtestab rangemad reeglid seoses turvauuringute tulemuste avaldamisega","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub avaldas reeglite muudatusi, mis m\u00e4\u00e4ratlevad poliitika, mis k\u00e4sitleb eksploitide ja kahjuliku tarkvara uurimistulemuste paigutamist, samuti USA digitaalsete autori\u00f5iguse seaduse (DMCA) j\u00e4rgimist. Muudatused on praegu mustandis, mis on aruteluks saadaval 30 p\u00e4eva. <\/p>\n
DMCA j\u00e4rgimise reeglitesse on lisatud j\u00e4rgmised tingimused, peale varasemalt olemas olnud keeldu kahjuliku tarkvara ja eksploitide levitamisest ning nende installimise v\u00f5i tarnimise tagamisest: <\/p>\n
\n
Selge keeldu tehnoloogia paigutamisest hoidlatest, mis t\u00f5kestavad autori\u00f5iguste tehniliste kaitsevahendite \u00fcletamise, sealhulgas litsentsiv\u00f5tmete ja kaevandamise programmide, v\u00f5tmete kontrollimise \u00fcletamise ja tasuta t\u00f6\u00f6perioodi pikendamise reeglid.\n
Soodustatakse sellise koodi eemaldamise taotluse esitamist. Eemaldamistaotluse esitaja peab andma tehnilisi \u00fcksikasju, koos deklaratsiooniga taotluse esitamist ekspertidele enne blokeerimist.\n
Repositooriumi blokeerimise korral lubatakse eksportida issu\u0435 ja PR-e ning pakkuda \u00f5igusabi. <\/ul>\n
Reeglite muudatused, mis k\u00e4sitlevad eksploitidega ja pahavaraga seotud k\u00fcsimusi, arvestavad kriitikat, mis kostis p\u00e4rast Microsofti eemaldatud eksploidiprotot\u00fc\u00fcbi, mida kasutati Microsoft Exchange'i r\u00fcnnakute sooritamiseks. Uutes reeglites on p\u00fc\u00fcdlus selgelt eraldada ohtlik sisu, mida kasutatakse aktiivsete r\u00fcnnakute teostamiseks, ja turvauuringutega kaasas k\u00e4iv kood. Muudatused: <\/p>\n
\n
GitHub-is on keelatud mitte ainult r\u00fcnnata kasutajaid, laadides \u00fcles exploite sisaldavat sisu v\u00f5i kasutades GitHub-i exploite levitamiseks nagu varem, vaid ka pahatahtliku koodi ja exploite jagamine, mis toetavad aktiivsete r\u00fcnnakute l\u00e4biviimist. \u00dcldiselt ei keelata juba parandatud haavatavusi k\u00e4sitlevate k\u00fcberturbe uuringute k\u00e4igus koostatud exploitide n\u00e4idiste \u00fcleslaadimist, kuid k\u00f5ik s\u00f5ltub sellest, kuidas m\u00f5istet \"aktiivsed r\u00fcnnakud\" t\u00f5lgendatakse.\n
N\u00e4iteks JavaScripti koodi l\u00e4htekoodide mis tahes vormis avaldamine, mis r\u00fcndab brauserit, kuulub sellele kriteeriumile - kurjategijal ei ole takistusi laadida l\u00e4htekood brauserisse fetch-iga, automaatselt patche\u2019d teha, kui exploitide protot\u00fc\u00fcp on avaldatud mittet\u00f6\u00f6tavas vormis, ja k\u00e4ivitada. Samuti kehtib sama \u00fchegi muu koodi puhul, n\u00e4iteks C++-s, - ei ole midagi, mis takistaks selle kompileerimist r\u00fcnnataval masinal ja k\u00e4ivitamist. Sellise koodiga hoidla avastamisel ei plaanita seda kustutada, vaid sulgeda sellele juurdep\u00e4\u00e4s. <\/p>\n
\u00dcksus, mis keelab \"spam\", mastaabikasv, osalemine mastaabisuurenduse turul, reeglite rikkumise programmid, phishing ja selle katsetused, on tekstis k\u00f5rgemale viidatud.\n
Lisatud punkt selgitusega apellatsiooni esitamise v\u00f5imalusest, kui ei n\u00f5ustuta blokeerimisega.\n
Repositooriumite omanikele on lisatud n\u00f5ue, et turvauuringute raames v\u00f5ib sisaldada potentsiaalselt ohtlikku sisu. Taolise sisu olemasolu peab olema selgelt mainitud README.md faili alguses ja SECURITY.md failis peavad olema esitatud kontaktandmed. \u00dcldiselt ei eemalda GitHub avaldatud eksploitide puhul, mis on seotud juba avalikustatud haavatavustega (mitte 0-day), aga j\u00e4tab endale \u00f5iguse piirata juurdep\u00e4\u00e4su, kui leitakse, et nende eksploitide kasutamine t\u00f5eliste r\u00fcnnakute jaoks on endiselt riskantne ning GitHubi tugiteenistusele laekuvad kaebused koodeksite kasutamise kohta r\u00fcnnakuteks. <\/ul>\n