GitHub ha pubblicato le modifiche delle regole che definiscono la politica riguardo la pubblicazione di exploit e i risultati della ricerca malware, così come il rispetto del vigente Digital Millennium Copyright Act (DMCA) degli Stati Uniti. Le modifiche sono attualmente in bozza e disponibili per discussione per 30 giorni.
Nelle regole di conformità al DMCA, oltre al divieto esistente di diffusione e installazione o consegna di malware attivo ed exploit, sono state aggiunte le seguenti condizioni:
- Divieto esplicito di inserire nei repository tecnologie per eludere i mezzi tecnici di protezione del copyright, inclusi i codici di licenza, oltre a programmi per la generazione di chiavi, elusione dei controlli delle chiavi e prolungamento del periodo di prova gratuito.
- Si introduce una procedura per la richiesta di rimozione di tale codice. Chi presenta la richiesta di rimozione deve fornire dettagli tecnici, dichiarando l'intenzione di inviare questa richiesta per esame prima della rimozione.
- In caso di blocco del repository, si promette di garantire la possibilità di esportare issue e PR, e di offrire servizi legali.
Le modifiche alle regole riguardanti exploit e malware tengono conto delle critiche emerse dopo che Microsoft ha rimosso un prototipo di exploit per Microsoft Exchange utilizzato in attacchi. Le nuove regole tentano di distinguere chiaramente tra contenuti che presentano un rischio e sono utilizzati per attacchi attivi e il codice che accompagna le ricerche nel campo della sicurezza. Le modifiche apportate:
- Non è consentito non solo attaccare gli utenti di GitHub pubblicando contenuti con exploit o utilizzare GitHub come mezzo per distribuire exploit, come avveniva in passato, ma anche pubblicare codice dannoso e exploit correlati a operazioni di attacco attivo. In generale, la pubblicazione di esempi di exploit preparati nell'ambito di ricerche sulla sicurezza e riguardanti vulnerabilità già risolte non è vietata, ma tutto dipenderà da come verrà interpretato il termine "attacchi attivi".
Ad esempio, la pubblicazione di qualsiasi forma di codice sorgente JavaScript che attacca il browser rientra in questo criterio: un malintenzionato può facilmente caricare il codice sorgente nel browser della vittima tramite fetch, patchandolo automaticamente se il prototipo dell'exploit è stato pubblicato in forma non funzionante e poi eseguirlo. Lo stesso vale per qualsiasi altro codice, ad esempio in C++: nulla impedisce di compilarlo sulla macchina attaccata e di eseguirlo. Se viene scoperto un repository con tale codice, si prevede di non eliminarlo, ma di chiudere l'accesso ad esso.
- Sezione spostata più su nel testo, che vieta 'spam', manipolazioni, partecipazione al mercato delle manipolazioni, programmi per violare le regole di qualsiasi sito, phishing e tentativi di phishing.
- Aggiunto un punto che spiega la possibilità di presentare ricorso in caso di disaccordo con il blocco.
- È stata aggiunta una nuova richiesta per i proprietari dei repository che contengono contenuti potenzialmente dannosi nel contesto della ricerca sulla sicurezza. Tali contenuti devono essere chiaramente menzionati all'inizio del file README.md, mentre nel file SECURITY.md devono essere forniti i dettagli di contatto per la comunicazione. Viene specificato che, in generale, GitHub non rimuove le exploit pubblicate insieme alle ricerche sulla sicurezza per vulnerabilità già rivelate (non 0-day), ma si riserva il diritto di limitare l'accesso se ritiene che ci sia il rischio che tali exploit vengano utilizzati per attacchi reali e se riceve segnalazioni al riguardo al servizio di assistenza GitHub.
Fonte: opennet.ru
