GitHub je objavio promjene pravila koja definiraju politiku u vezi s objavljivanjem eksploita i rezultata istraživanja zlonamjernog softvera, kao i usklađenosti s važećim Američkim zakonom o autorskim pravima u digitalnoj eri (DMCA). Promjene su trenutno u nacrtu, dostupnom za raspravu tijekom 30 dana.
U pravilima o usklađenosti s DMCA, pored ranije prisutne zabrane distribucije i omogućavanja instalacije ili isporuke aktivnog zlonamjernog softvera i eksploita, dodani su sljedeći uvjeti:
- Izričita zabrana stavljanja u repozitorije tehnologija za zaobilaženje tehničkih zaštita autorskih prava, uključujući licenčne ključeve, kao i programa za generiranje ključeva, zaobilaženje provjere ključeva i produženje besplatnog razdoblja rada.
- Uveden je postupak podnošenja zahtjeva za uklanjanje takvog koda. Od podnositelja zahtjeva za uklanjanje traži se dostava tehničkih detalja, s deklariranim namjerama za proslijediti ovaj zahtjev na reviziju prije blokade.
- Pri blokadi repozitorija obećavaju omogućiti mogućnost izvoza issue-a i PR-ova, te ponuditi pravne usluge.
Promjene u pravilima koja se odnose na eksploite i zlonamjerni softver uzimaju u obzir kritiku koja je izrečena nakon što je Microsoft uklonio prototip eksploita za Microsoft Exchange, korišten za izvođenje napada. U novim pravilima poduzet pokušaj jasnog odvajanja sadržaja koji predstavlja opasnost i koristi se za izvođenje aktivnih napada od koda koji prati istraživanja u području sigurnosti. Unesene promjene:
- Zabranjeno je ne samo napadati korisnike GitHuba postavljanjem sadržaja s eksploitatima, ili koristiti GitHub kao sredstvo isporuke eksploita, kao što je bilo ranije, nego i stavljati zlonamjerni kod i eksploitne koji prate izvođenje aktivnih napada. U općenitom smislu, nije zabranjeno objavljivanje primjera eksploita, pripremljenih tijekom sigurnosnih istraživanja i koji se odnose na već ispravljene ranjivosti, no sve će ovisiti o tome kako se tumači termin „aktivni napadi”.
Na primjer, objava u bilo kojem obliku izvornog JavaScript koda koji napada preglednik podliježe ovom kriteriju — napadaču ništa ne sprječava da učita izvorni kod u preglednik žrtve putem fetch-a, automatski ga propati ako je prototip eksploita objavljen u neupotrebljivom stanju i izvrši ga. Slično je i s bilo kojim drugim kodom, na primjer na C++, — ništa ne sprječava da ga se kompajlira na napadnutom računalu i izvrši. Kada se otkrije repozitorij s takvim kodom, planira se ne brisati ga, već zatvoriti pristup.
- Premješten odjeljak gore u tekstu koji zabranjuje "spam", povećanje, sudjelovanje na tržištu povećavanja, programe za kršenje pravila nekih web stranica, phishing i njegove pokušaje.
- Dodana stavka s objašnjenjem mogućnosti podnošenja žalbe u slučaju neslaganja s blokadom.
- Dodana su zahtjevi za vlasnike repozitorija u kojima se u okviru istraživanja sigurnosti nalazi potencijalno opasan sadržaj. Prisutnost takvog sadržaja mora biti jasno navedena na početku README.md datoteke, a u SECURITY.md datoteci trebaju biti pruženi kontakt podaci za komunikaciju. Naglašeno je da GitHub u općem obliku ne uklanja exploite objavljene zajedno s istraživanjima sigurnosti za već otkrivene ranjivosti (ne 0-day), ali zadržava pravo ograničiti pristup ako smatra da postoji rizik od korištenja tih exploita za stvarne napade i ako korisnička podrška GitHub-u zaprimlja pritužbe na korištenje koda za napade.
Izvor: opennet.ru
