{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub renforce les r\u00e8gles concernant la publication des r\u00e9sultats des recherches en s\u00e9curit\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub a publi\u00e9 des modifications des r\u00e8gles qui d\u00e9finissent la politique concernant l'h\u00e9bergement des exploits et des r\u00e9sultats de recherches sur les logiciels malveillants, ainsi que le respect de la loi am\u00e9ricaine sur le droit d'auteur dans l'\u00e8re num\u00e9rique (DMCA). Les modifications sont encore en phase de brouillon, accessibles pour discussion pendant 30 jours. <\/p>\n
Dans les r\u00e8gles de conformit\u00e9 au DMCA, en plus de l'interdiction pr\u00e9c\u00e9demment existante de distribuer et de faciliter l'installation ou la livraison de logiciels malveillants actifs et d'exploits, des conditions suppl\u00e9mentaires ont \u00e9t\u00e9 ajout\u00e9es : <\/p>\n
\n
Interdiction explicite de placer dans les d\u00e9p\u00f4ts des technologies permettant de contourner les mesures techniques de protection des droits d'auteur, y compris des cl\u00e9s de licence, ainsi que des programmes pour g\u00e9n\u00e9rer des cl\u00e9s, contourner la v\u00e9rification des cl\u00e9s et prolonger la p\u00e9riode d'utilisation gratuite.\n
Un processus de demande de suppression de ce type de code est mis en place. La personne soumettant la demande de suppression doit fournir des d\u00e9tails techniques, avec l'intention d\u00e9clar\u00e9e de transmettre cette demande \u00e0 un examen avant le blocage.\n
Lors du blocage du d\u00e9p\u00f4t, il est promis de permettre l'exportation des issues et des PR, et de proposer des services juridiques. <\/ul>\n
Les modifications apport\u00e9es aux r\u00e8gles concernant les exploits et les logiciels malveillants tiennent compte des critiques formul\u00e9es apr\u00e8s que Microsoft ait supprim\u00e9 le prototype d'exploit pour Microsoft Exchange, utilis\u00e9 pour mener des attaques. Les nouvelles r\u00e8gles tentent de s\u00e9parer explicitement le contenu pr\u00e9sentant un danger et utilis\u00e9 pour mener des attaques actives, et le code accompagnant les recherches en mati\u00e8re de s\u00e9curit\u00e9. Les changements apport\u00e9s sont : <\/p>\n
\n
Il est interdit non seulement d'attaquer les utilisateurs de GitHub en publiant du contenu contenant des exploits ou d'utiliser GitHub comme moyen de livraison d'exploits, comme cela a \u00e9t\u00e9 fait par le pass\u00e9, mais aussi de publier du code malveillant et des exploits li\u00e9s \u00e0 la r\u00e9alisation d'attaques actives. De mani\u00e8re g\u00e9n\u00e9rale, il n'est pas interdit de publier des exemples d'exploits, pr\u00e9par\u00e9s dans le cadre de recherches en s\u00e9curit\u00e9 et touchant d\u00e9j\u00e0 des vuln\u00e9rabilit\u00e9s corrig\u00e9es, mais tout d\u00e9pendra de l'interpr\u00e9tation du terme \u00ab attaques actives \u00bb.\n
Par exemple, la publication sous n'importe quelle forme des codes sources JavaScript attaquant un navigateur entre dans ce crit\u00e8re \u2014 rien n'emp\u00eache l'attaquant de charger le code source dans le navigateur de la victime via fetch, de le patcher automatiquement si le prototype de l'exploit est publi\u00e9 dans une version non fonctionnelle, et de l'ex\u00e9cuter. Il en va de m\u00eame pour tout autre code, par exemple en C++, \u2014 rien n'emp\u00eache de le compiler sur la machine cibl\u00e9e et de l'ex\u00e9cuter. Lors de la d\u00e9tection d'un d\u00e9p\u00f4t contenant un tel code, il ne sera pas supprim\u00e9, mais l'acc\u00e8s sera restreint. <\/p>\n
Le passage plus haut dans le texte interdit le \u00ab spam \u00bb, les manipulations, la participation au march\u00e9 des manipulations, les programmes violant les r\u00e8gles de certains sites, le phishing et ses tentatives.\n
Ajout d'un point expliquant la possibilit\u00e9 de faire appel en cas de d\u00e9saccord avec un blocage.\n
Ajout d'une exigence pour les propri\u00e9taires de r\u00e9f\u00e9rentiels contenant du contenu potentiellement dangereux dans le cadre de recherches en s\u00e9curit\u00e9. La pr\u00e9sence de ce contenu doit \u00eatre clairement mentionn\u00e9e au d\u00e9but du fichier README.md, et des coordonn\u00e9es de contact doivent \u00eatre fournies dans le fichier SECURITY.md. Il est indiqu\u00e9 qu'en g\u00e9n\u00e9ral, GitHub ne supprime pas les exploits publi\u00e9s avec des recherches en s\u00e9curit\u00e9 pour des vuln\u00e9rabilit\u00e9s d\u00e9j\u00e0 divulgu\u00e9es (non 0-day), mais se r\u00e9serve le droit de restreindre l'acc\u00e8s s'il juge qu'il existe un risque d'utilisation de ces exploits pour de v\u00e9ritables attaques et que des plaintes concernant l'utilisation du code pour des attaques parviennent au support de GitHub. <\/ul>\n