GitHub ने सुरक्षा अनुसंधान पोस्ट करने के नियमों को कड़ा कर दिया है

GitHub ने नीतिगत बदलाव प्रकाशित किए हैं जो शोषण और मैलवेयर अनुसंधान की पोस्टिंग के साथ-साथ यूएस डिजिटल मिलेनियम कॉपीराइट एक्ट (डीएमसीए) के अनुपालन के संबंध में नीतियों की रूपरेखा तैयार करते हैं। परिवर्तन अभी भी मसौदा स्थिति में हैं, 30 दिनों के भीतर चर्चा के लिए उपलब्ध हैं।

सक्रिय मैलवेयर और शोषण के वितरण और स्थापना या वितरण को सुनिश्चित करने पर पहले से मौजूद प्रतिबंध के अलावा, निम्नलिखित शर्तों को DMCA अनुपालन नियमों में जोड़ा गया है:

• कॉपीराइट सुरक्षा के तकनीकी साधनों को दरकिनार करने के लिए रिपॉजिटरी प्रौद्योगिकियों को रखने पर स्पष्ट प्रतिबंध, जिसमें लाइसेंस कुंजी, साथ ही कुंजी उत्पन्न करने के कार्यक्रम, कुंजी सत्यापन को दरकिनार करना और काम की मुफ्त अवधि का विस्तार करना शामिल है।
• ऐसे कोड को हटाने के लिए आवेदन दाखिल करने की एक प्रक्रिया शुरू की जा रही है। हटाने के लिए आवेदक को अवरुद्ध करने से पहले परीक्षा के लिए आवेदन जमा करने के घोषित इरादे के साथ तकनीकी विवरण प्रदान करना आवश्यक है।
• जब रिपॉजिटरी अवरुद्ध हो जाती है, तो वे मुद्दों और पीआर को निर्यात करने की क्षमता प्रदान करने और कानूनी सेवाएं प्रदान करने का वादा करते हैं।

शोषण और मैलवेयर नियमों में परिवर्तन उस आलोचना को संबोधित करते हैं जो Microsoft द्वारा हमलों को लॉन्च करने के लिए उपयोग किए जाने वाले प्रोटोटाइप Microsoft एक्सचेंज शोषण को हटाने के बाद आई थी। नए नियम सक्रिय हमलों के लिए उपयोग की जाने वाली खतरनाक सामग्री को सुरक्षा अनुसंधान का समर्थन करने वाले कोड से स्पष्ट रूप से अलग करने का प्रयास करते हैं। परिवर्तन किए:

• यह न केवल GitHub उपयोगकर्ताओं पर शोषण के साथ सामग्री पोस्ट करके हमला करने या GitHub को शोषण वितरित करने के साधन के रूप में उपयोग करने के लिए निषिद्ध है, जैसा कि पहले मामला था, बल्कि सक्रिय हमलों के साथ दुर्भावनापूर्ण कोड और शोषण पोस्ट करने के लिए भी निषिद्ध है। सामान्य तौर पर, सुरक्षा अनुसंधान के दौरान तैयार किए गए कारनामों और पहले से ही तय की गई कमजोरियों को प्रभावित करने वाले उदाहरणों को पोस्ट करना निषिद्ध नहीं है, लेकिन सब कुछ इस बात पर निर्भर करेगा कि "सक्रिय हमलों" शब्द की व्याख्या कैसे की जाती है।

  उदाहरण के लिए, ब्राउज़र पर हमला करने वाले स्रोत पाठ के किसी भी रूप में जावास्क्रिप्ट कोड को प्रकाशित करना इस मानदंड के अंतर्गत आता है - कुछ भी हमलावर को फ़ेच का उपयोग करके पीड़ित के ब्राउज़र में स्रोत कोड डाउनलोड करने से नहीं रोकता है, यदि शोषण प्रोटोटाइप एक निष्क्रिय रूप में प्रकाशित होता है तो स्वचालित रूप से इसे पैच कर देता है। , और इसे क्रियान्वित करना। इसी प्रकार किसी भी अन्य कोड के साथ, उदाहरण के लिए C++ में - कुछ भी आपको इसे आक्रमणकारी मशीन पर संकलित करने और निष्पादित करने से नहीं रोकता है। यदि समान कोड वाला कोई भंडार खोजा जाता है, तो उसे हटाने की नहीं, बल्कि उस तक पहुंच को अवरुद्ध करने की योजना बनाई गई है।

• "स्पैम", धोखाधड़ी, धोखाधड़ी बाजार में भागीदारी, किसी भी साइट के नियमों का उल्लंघन करने वाले कार्यक्रमों, फ़िशिंग और इसके प्रयासों को प्रतिबंधित करने वाले अनुभाग को पाठ में ऊपर ले जाया गया है।
• अवरोधन से असहमति की स्थिति में अपील दायर करने की संभावना को समझाते हुए एक पैराग्राफ जोड़ा गया है।
• सुरक्षा अनुसंधान के हिस्से के रूप में संभावित खतरनाक सामग्री को होस्ट करने वाले रिपॉजिटरी के मालिकों के लिए एक आवश्यकता जोड़ी गई है। ऐसी सामग्री की उपस्थिति का स्पष्ट रूप से README.md फ़ाइल की शुरुआत में उल्लेख किया जाना चाहिए, और संपर्क जानकारी SECURITY.md फ़ाइल में प्रदान की जानी चाहिए। यह कहा गया है कि सामान्य तौर पर GitHub पहले से ही प्रकट कमजोरियों (0-दिन नहीं) के लिए सुरक्षा अनुसंधान के साथ प्रकाशित कारनामों को नहीं हटाता है, लेकिन अगर यह मानता है कि इन कारनामों का वास्तविक हमलों के लिए उपयोग किए जाने का जोखिम बना हुआ है, तो पहुंच को प्रतिबंधित करने का अवसर सुरक्षित रखता है। और GitHub समर्थन सेवा में हमलों के लिए उपयोग किए जा रहे कोड के बारे में शिकायतें प्राप्त हुई हैं।

स्रोत: opennet.ru