GitHub ha pubblicato modifiche alle regole che definiscono la politica riguardante la pubblicazione di exploit e risultati di ricerche su malware, oltre al rispetto del vigente Digital Millennium Copyright Act (DMCA) negli Stati Uniti. Le modifiche sono attualmente in bozza, disponibili per discussione per 30 giorni.
Nelle regole di conformità al DMCA, oltre al divieto precedente di diffondere e garantire l'installazione o la consegna di malware attivo e exploit, sono state aggiunte le seguenti condizioni:
- Divieto esplicito di inserire nei repository tecnologie per aggirare i mezzi tecnici di protezione del copyright, inclusi i codici di licenza, nonché programmi per la generazione di chiavi, aggiramento della verifica delle chiavi e prolungamento dei periodi di prova gratuiti.
- Viene introdotta una procedura per richiedere la rimozione di tale codice. Chi presenta la richiesta di rimozione deve fornire dettagli tecnici, con l'intento dichiarato di sottoporre questa richiesta a esame prima della blocco.
- In caso di blocco del repository, si promette di garantire la possibilità di esportare issue e PR e di offrire servizi legali.
Le modifiche apportate alle regole riguardanti exploit e malware tengono conto delle critiche sollevate dopo che Microsoft ha rimosso un prototipo di exploit per Microsoft Exchange, utilizzato per effettuare attacchi. Nelle nuove regole è stato tentato un chiaro distacco tra contenuti che presentano pericoli e sono utilizzati per attacchi attivi, e codice associato a ricerche sulla sicurezza. Le modifiche apportate:
- È vietato non solo attaccare gli utenti di GitHub pubblicando contenuti con exploit o utilizzare GitHub come mezzo di consegna di exploit, come fatto in precedenza, ma anche inserire codici dannosi e exploit che accompagnano la realizzazione di attacchi attivi. In generale, non è vietato pubblicare esempi di exploit preparati nell'ambito di ricerche sulla sicurezza e riguardanti vulnerabilità già corrette, ma tutto dipenderà da come verrà interpretato il termine "attacchi attivi".
Ad esempio, la pubblicazione in qualsiasi forma di codice sorgente JavaScript che attacca il browser rientra in questo criterio: un malintenzionato non ha nulla che gli impedisca di caricare il codice sorgente nel browser della vittima utilizzando fetch, automaticamente patcharlo se il prototipo dell'exploit è pubblicato in una forma non funzionante e eseguirlo. Lo stesso vale per qualsiasi altro codice, come C++, non c'è nulla che impedisca di compilarlo sulla macchina attaccata e di eseguirlo. Quando viene scoperto un repository con questo tipo di codice, si prevede di non eliminarlo, ma di chiudere l'accesso ad esso.
- Sezione spostata più su nel testo, che vieta "spam", manipolazioni, partecipazione a mercati di manipolazione, programmi per violare le regole di qualsiasi sito, phishing e i suoi tentativi.
- È stato aggiunto un punto che spiega la possibilità di presentare un appello in caso di disaccordo con il blocco.
- È stato aggiunto un requisito per i proprietari dei repository in cui vengono pubblicati contenuti potenzialmente pericolosi nell'ambito della ricerca sulla sicurezza. La presenza di tali contenuti deve essere chiaramente menzionata all'inizio del file README.md, e nel file SECURITY.md devono essere forniti i dettagli di contatto per le comunicazioni. È stato specificato che, in generale, GitHub non elimina gli exploit pubblicati insieme a ricerche di sicurezza per vulnerabilità già divulgate (non 0-day), ma si riserva il diritto di limitare l'accesso se ritiene che ci sia il rischio di utilizzo di tali exploit per attacchi reali e se il servizio di supporto di GitHub riceve segnalazioni sull'uso del codice per attacchi.
Fonte: opennet.ru
