{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub inasprisce le regole relative all'hosting dei risultati delle ricerche di sicurezza","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub ha pubblicato le modifiche delle regole che definiscono la politica riguardo la pubblicazione di exploit e i risultati della ricerca malware, cos\u00ec come il rispetto del vigente Digital Millennium Copyright Act (DMCA) degli Stati Uniti. Le modifiche sono attualmente in bozza e disponibili per discussione per 30 giorni. <\/p>\n
Nelle regole di conformit\u00e0 al DMCA, oltre al divieto esistente di diffusione e installazione o consegna di malware attivo ed exploit, sono state aggiunte le seguenti condizioni: <\/p>\n
\n
Divieto esplicito di inserire nei repository tecnologie per eludere i mezzi tecnici di protezione del copyright, inclusi i codici di licenza, oltre a programmi per la generazione di chiavi, elusione dei controlli delle chiavi e prolungamento del periodo di prova gratuito.\n
Si introduce una procedura per la richiesta di rimozione di tale codice. Chi presenta la richiesta di rimozione deve fornire dettagli tecnici, dichiarando l'intenzione di inviare questa richiesta per esame prima della rimozione.\n
In caso di blocco del repository, si promette di garantire la possibilit\u00e0 di esportare issue e PR, e di offrire servizi legali. <\/ul>\n
Le modifiche alle regole riguardanti exploit e malware tengono conto delle critiche emerse dopo che Microsoft ha rimosso un prototipo di exploit per Microsoft Exchange utilizzato in attacchi. Le nuove regole tentano di distinguere chiaramente tra contenuti che presentano un rischio e sono utilizzati per attacchi attivi e il codice che accompagna le ricerche nel campo della sicurezza. Le modifiche apportate: <\/p>\n
\n
\u00c8 vietato non solo attaccare gli utenti di GitHub pubblicando contenuti con exploit o utilizzare GitHub come mezzo per distribuire exploit, come avvenuto in passato, ma anche pubblicare codice dannoso e exploit associati a condotte di attacchi attivi. In generale, non \u00e8 vietata la pubblicazione di esempi di exploit redatti a seguito di ricerche sulla sicurezza e riguardanti vulnerabilit\u00e0 gi\u00e0 risolte, ma tutto dipender\u00e0 da come si interpreta il termine \u00abattacchi attivi\u00bb.\n
Ad esempio, la pubblicazione in qualsiasi forma di codice sorgente JavaScript che attacca il browser rientra in questo criterio \u2014 l'attaccante non ha alcun impedimento a caricare il codice sorgente nel browser della vittima tramite fetch, patchandolo automaticamente, se il prototipo dell'exploit \u00e8 pubblicato in una forma non funzionante, e ad eseguirlo. Analogamente per qualsiasi altro codice, ad esempio in C++, \u2014 nulla impedisce di compilarlo sulla macchina attaccata ed eseguirlo. In caso di rilevamento di un repository con tale codice, si prevede di non eliminarlo, ma di chiudere l'accesso. <\/p>\n
La sezione sopra riportata, che vieta lo \u00abspam\u00bb, il boosting, la partecipazione al mercato del boosting, programmi per violare le regole di qualsiasi sito, phishing e i suoi tentativi.\n
Aggiunto un punto che spiega la possibilit\u00e0 di presentare ricorso in caso di disaccordo con il blocco.\n
\u00c8 stata aggiunta una nuova richiesta per i proprietari dei repository che contengono contenuti potenzialmente dannosi nel contesto della ricerca sulla sicurezza. Tali contenuti devono essere chiaramente menzionati all'inizio del file README.md, mentre nel file SECURITY.md devono essere forniti i dettagli di contatto per la comunicazione. Viene specificato che, in generale, GitHub non rimuove le exploit pubblicate insieme alle ricerche sulla sicurezza per vulnerabilit\u00e0 gi\u00e0 rivelate (non 0-day), ma si riserva il diritto di limitare l'accesso se ritiene che ci sia il rischio che tali exploit vengano utilizzati per attacchi reali e se riceve segnalazioni al riguardo al servizio di assistenza GitHub. <\/ul>\n