GitHub מחמיר את הכללים סביב פרסום מחקרי אבטחה

GitHub פרסמה שינויי מדיניות המתארים מדיניות בנוגע לפרסום ניצולים ומחקרי תוכנות זדוניות, כמו גם ציות לחוק זכויות היוצרים הדיגיטלי של המילניום האמריקאי (DMCA). השינויים עדיין בסטטוס טיוטה, זמינים לדיון תוך 30 יום.

בנוסף לאיסור הקיים בעבר על הפצה והבטחת התקנה או מסירה של תוכנות זדוניות וניצול פעילות, התנאים הבאים נוספו לכללי תאימות DMCA:

• איסור מפורש להציב במאגר טכנולוגיות לעקיפת אמצעים טכניים להגנת זכויות יוצרים, לרבות מפתחות רישיון, וכן תוכנות להפקת מפתחות, עקיפת אימות מפתחות והארכת תקופת העבודה החופשית.
• הוכנס נוהל להגשת בקשה להסרת קוד כזה. מבקש המחיקה נדרש למסור פרטים טכניים, תוך כוונה מוצהרת להגיש את הבקשה לבדיקה טרם החסימה.
• כאשר המאגר נחסם, הם מבטיחים לספק את היכולת לייצא בעיות ויחסי ציבור, ולהציע שירותים משפטיים.

השינויים בניצול וחוקי תוכנות זדוניות נותנים מענה לביקורת שהגיעה לאחר שמיקרוסופט הסירה אב טיפוס של ניצול של Microsoft Exchange המשמש להפעלת התקפות. הכללים החדשים מנסים להפריד במפורש בין תוכן מסוכן המשמש להתקפות פעילות לבין קוד שתומך במחקר אבטחה. שינויים נעשו:

• חל איסור לא רק לתקוף משתמשי GitHub על ידי פרסום תוכן עם ניצולים או להשתמש ב-GitHub כאמצעי להעברת ניצולים, כפי שהיה נהוג בעבר, אלא גם לפרסם קוד זדוני וניצולים הנלווים להתקפות פעילות. באופן כללי, אין איסור לפרסם דוגמאות לניצולים שהוכנו במהלך מחקר אבטחה ומשפיעים על נקודות תורפה שכבר תוקנו, אך הכל יהיה תלוי באופן שבו יתפרש המונח "התקפות פעילות".

  לדוגמה, פרסום קוד JavaScript בכל צורה של טקסט מקור שתוקף דפדפן נופל תחת קריטריון זה - שום דבר לא מונע מהתוקף להוריד את קוד המקור לדפדפן של הקורבן באמצעות אחזור, תיקון אוטומטי אם אב הטיפוס הניצול פורסם בצורה בלתי ניתנת להפעלה , וביצועו. בדומה לכל קוד אחר, למשל ב-C++ - שום דבר לא מונע ממך להדר אותו במחשב המותקף ולהפעיל אותו. אם מתגלה מאגר עם קוד דומה, מתוכנן לא למחוק אותו, אלא לחסום את הגישה אליו.

• הסעיף האוסר על "ספאם", רמאות, השתתפות בשוק הרמאות, תוכניות להפרת חוקים של אתרים כלשהם, דיוג וניסיונותיו הועבר למעלה בטקסט.
• נוספה פסקה המסבירה את האפשרות להגיש ערעור במקרה של אי הסכמה לחסימה.
• נוספה דרישה לבעלי מאגרים המארחים תוכן שעלול להיות מסוכן כחלק ממחקר אבטחה. יש לציין במפורש את הנוכחות של תוכן כזה בתחילת קובץ README.md, ופרטי יצירת קשר חייבים להיות מסופקים בקובץ SECURITY.md. נאמר כי באופן כללי GitHub אינו מסיר ניצולים שפורסמו יחד עם מחקרי אבטחה עבור פרצות שכבר נחשפו (לא 0-יום), אך שומרת לעצמה את ההזדמנות להגביל את הגישה אם היא סבורה כי נותר סיכון לשימוש בניצולים אלה עבור התקפות אמיתיות ובשירות GitHub התמיכה קיבלה תלונות על הקוד המשמש להתקפות.

מקור: OpenNet.ru