GitHub ने सुरक्षा अनुसंधान पोस्ट करने के नियमों को कड़ा कर दिया है

GitHub ने एक्सप्लॉइट और मैलवेयर शोध प्रस्तुतियों और अमेरिकी डिजिटल मिलेनियम कॉपीराइट एक्ट (DMCA) के अनुपालन संबंधी नीतियों को नियंत्रित करने वाले अपने नियमों में बदलाव प्रकाशित किए हैं। ये बदलाव फिलहाल ड्राफ्ट के रूप में हैं और 30 दिनों तक टिप्पणियों के लिए खुले हैं।

DMCA अनुपालन नियमों में, सक्रिय मैलवेयर और एक्सप्लॉइट को वितरित करने, स्थापित करने या वितरित करने के विरुद्ध पूर्व प्रतिबन्ध के अतिरिक्त, निम्नलिखित शर्तें भी जोड़ी गई हैं:

• कॉपीराइट संरक्षण के तकनीकी साधनों को दरकिनार करने वाली प्रौद्योगिकियों को रिपॉजिटरी में रखने पर स्पष्ट प्रतिबंध, जिसमें लाइसेंस कुंजियां, साथ ही कुंजियां बनाने, कुंजी सत्यापन को दरकिनार करने और कार्य की निःशुल्क अवधि बढ़ाने के कार्यक्रम शामिल हैं।
• ऐसे कोड को हटाने के लिए आवेदन दाखिल करने की एक प्रक्रिया शुरू की जा रही है। हटाने के लिए आवेदक को तकनीकी विवरण प्रदान करना होगा, और यह घोषित इरादा भी रखना होगा कि वह ब्लॉक करने से पहले इस आवेदन को जाँच के लिए प्रस्तुत करेगा।
• रिपोजिटरी को ब्लॉक करते समय, वे मुद्दे और पी.आर. को निर्यात करने की क्षमता प्रदान करने और कानूनी सेवाएं प्रदान करने का वादा करते हैं।

एक्सप्लॉइट और मैलवेयर नियमों में बदलाव, माइक्रोसॉफ्ट द्वारा हमलों को अंजाम देने के लिए इस्तेमाल किए गए एक प्रोटोटाइप माइक्रोसॉफ्ट एक्सचेंज एक्सप्लॉइट को हटाने के बाद हुई आलोचनाओं का समाधान करते हैं। नए नियम सक्रिय हमलों को अंजाम देने के लिए इस्तेमाल की जाने वाली खतरनाक सामग्री को सुरक्षा अनुसंधान का समर्थन करने वाले कोड से स्पष्ट रूप से अलग करने का प्रयास करते हैं। इन बदलावों में शामिल हैं:

• GitHub पर शोषण सामग्री पोस्ट करके उपयोगकर्ताओं पर हमला करना या GitHub को शोषण करने के साधन के रूप में इस्तेमाल करना, जैसा कि पहले होता था, न केवल प्रतिबंधित है, बल्कि सक्रिय हमलों के साथ आने वाले दुर्भावनापूर्ण कोड और शोषण को पोस्ट करना भी प्रतिबंधित है। सामान्य तौर पर, सुरक्षा अनुसंधान के दौरान तैयार किए गए और पहले से तय की गई कमज़ोरियों को प्रभावित करने वाले शोषण के उदाहरण पोस्ट करना प्रतिबंधित नहीं है, लेकिन सब कुछ इस बात पर निर्भर करेगा कि कोई "सक्रिय हमले" शब्द की व्याख्या कैसे करता है।

  उदाहरण के लिए, ब्राउज़र पर हमला करने वाले जावास्क्रिप्ट कोड के किसी भी स्रोत पाठ को प्रकाशित करना इस मानदंड के अंतर्गत आता है - किसी भी चीज़ से हमलावर को फ़ेच का उपयोग करके पीड़ित के ब्राउज़र में स्रोत कोड लोड करने, और यदि शोषण प्रोटोटाइप निष्क्रिय रूप में प्रकाशित होता है तो उसे स्वचालित रूप से पैच करने और उसे निष्पादित करने से कोई नहीं रोकता। इसी प्रकार, किसी भी अन्य कोड के साथ, उदाहरण के लिए C++ में - उसे आक्रमणकारी मशीन पर संकलित करने और निष्पादित करने से कोई नहीं रोकता। यदि ऐसे कोड वाला कोई रिपॉजिटरी पाया जाता है, तो उसे हटाने की नहीं, बल्कि उस तक पहुँच बंद करने की योजना बनाई जाती है।

• स्पैम, धोखाधड़ी, धोखाधड़ी बाजार में भागीदारी, किसी भी साइट के नियमों का उल्लंघन करने वाले कार्यक्रम, फ़िशिंग और इसके प्रयासों पर रोक लगाने वाले खंड को पाठ में ऊपर ले जाया गया है।
• इसमें एक खंड जोड़ा गया है जिसमें अवरोधन से असहमति की स्थिति में अपील दायर करने की संभावना को स्पष्ट किया गया है।
• सुरक्षा अनुसंधान के भाग के रूप में संभावित रूप से खतरनाक सामग्री होस्ट करने वाले रिपॉजिटरी के स्वामियों के लिए एक आवश्यकता जोड़ी गई है। ऐसी सामग्री की उपस्थिति README.md फ़ाइल की शुरुआत में स्पष्ट रूप से उल्लिखित होनी चाहिए, और SECURITY.md फ़ाइल में संपर्क जानकारी प्रदान की जानी चाहिए। यह निर्दिष्ट किया गया है कि सामान्यतः, GitHub पहले से प्रकट की गई कमजोरियों (0-दिन नहीं) के लिए सुरक्षा अनुसंधान के साथ प्रकाशित एक्सप्लॉइट्स को नहीं हटाता है, लेकिन यदि उसे लगता है कि इन एक्सप्लॉइट्स का वास्तविक हमलों में उपयोग किए जाने का जोखिम है और GitHub समर्थन को हमलों के लिए कोड के उपयोग के बारे में शिकायतें प्राप्त होती हैं, तो वह पहुँच को प्रतिबंधित करने का अधिकार सुरक्षित रखता है।

स्रोत: opennet.ru