GitHub ამკაცრებს წესებს უსაფრთხოების კვლევის გამოქვეყნების შესახებ

GitHub-მა გამოაქვეყნა პოლიტიკის ცვლილებები, რომლებიც ასახავს პოლიტიკას ექსპლოიტების და მავნე პროგრამების გამოქვეყნების შესახებ, ისევე როგორც აშშ-ს ციფრული ათასწლეულის საავტორო უფლებების შესახებ კანონის (DMCA) შესაბამისობას. ცვლილებები ჯერ კიდევ პროექტის სტატუსშია, განხილვისთვის ხელმისაწვდომია 30 დღის განმავლობაში.

აქტიური მავნე პროგრამების და ექსპლოიტების გავრცელებისა და ინსტალაციის ან მიწოდების შესახებ ადრე არსებული აკრძალვის გარდა, DMCA შესაბამისობის წესებს დაემატა შემდეგი პირობები:

• საავტორო უფლებების დაცვის ტექნიკური საშუალებების, მათ შორის სალიცენზიო გასაღებების, ასევე გასაღებების გენერირების პროგრამების, გასაღების გადამოწმების გვერდის ავლით და მუშაობის თავისუფალი პერიოდის გახანგრძლივების ტექნოლოგიების საცავში განთავსების აშკარა აკრძალვა.
• დანერგილია ასეთი კოდის ამოღების შესახებ განცხადების შეტანის პროცედურა. წაშლის განმცხადებელი ვალდებულია წარმოადგინოს ტექნიკური დეტალები, დეკლარირებული განზრახვით წარადგინოს განაცხადი ექსპერტიზაზე დაბლოკვამდე.
• როდესაც საცავი დაბლოკილია, ისინი გპირდებიან, რომ უზრუნველყოფენ საკითხებისა და PR-ების ექსპორტის შესაძლებლობას და გთავაზობთ იურიდიულ მომსახურებას.

ექსპლოიტებისა და მავნე პროგრამების წესებში შეტანილი ცვლილებები მიმართულია კრიტიკაზე, რაც მოვიდა მას შემდეგ, რაც Microsoft-მა ამოიღო Microsoft Exchange-ის პროტოტიპი, რომელიც გამოიყენებოდა თავდასხმების დასაწყებად. ახალი წესები ცდილობს ცალსახად გამოყოს საშიში კონტენტი, რომელიც გამოიყენება აქტიური თავდასხმებისთვის, კოდისგან, რომელიც მხარს უჭერს უსაფრთხოების კვლევას. განხორციელებული ცვლილებები:

• აკრძალულია არა მხოლოდ GitHub-ის მომხმარებლებზე თავდასხმა მასზე ექსპლოიტების შემცველი შინაარსის გამოქვეყნებით ან GitHub-ის გამოყენება, როგორც ექსპლოიტების მიწოდების საშუალება, როგორც ეს ადრე იყო, არამედ ასევე მავნე კოდის და ექსპლოიტების გამოქვეყნება, რომლებიც თან ახლავს აქტიურ შეტევებს. ზოგადად, არ არის აკრძალული უსაფრთხოების კვლევის დროს მომზადებული ექსპლოიტების მაგალითების განთავსება და ზემოქმედების მოწყვლადობაზე, რომლებიც უკვე გამოსწორებულია, მაგრამ ყველაფერი დამოკიდებული იქნება იმაზე, თუ როგორ იქნება განმარტებული ტერმინი „აქტიური თავდასხმები“.

  მაგალითად, JavaScript კოდის გამოქვეყნება წყაროს ტექსტის ნებისმიერ ფორმაში, რომელიც თავს დაესხმება ბრაუზერს, ექვემდებარება ამ კრიტერიუმს - არაფერი უშლის თავდამსხმელს, ჩამოტვირთოს წყაროს კოდი მსხვერპლის ბრაუზერში fetch-ის გამოყენებით, ავტომატურად შეასწორებს მას, თუ ექსპლოიტის პროტოტიპი გამოქვეყნდება არაფუნქციონირებულ ფორმაში. , და მისი შესრულება. ანალოგიურად ნებისმიერი სხვა კოდის შემთხვევაში, მაგალითად C++-ში - არაფერი გიშლით ხელს, შეადგინოთ იგი თავდასხმულ მანქანაზე და განახორციელოთ იგი. თუ აღმოჩენილია მსგავსი კოდის მქონე საცავი, დაგეგმილია არა მისი წაშლა, არამედ მასზე წვდომის დაბლოკვა.

• ტექსტში უფრო მაღლა გადატანილია განყოფილება, რომელიც კრძალავს „სპამს“, თაღლითობას, თაღლითობის ბაზარზე მონაწილეობას, ნებისმიერი საიტის წესების დარღვევის პროგრამებს, ფიშინგს და მის მცდელობებს.
• დამატებულია პუნქტი, რომელიც განმარტავს ბლოკირებასთან შეუთანხმებლობის შემთხვევაში აპელაციის შეტანის შესაძლებლობას.
• უსაფრთხოების კვლევის ფარგლებში დამატებულია მოთხოვნა იმ საცავების მფლობელებისთვის, რომლებიც პოტენციურად საშიშ კონტენტს მასპინძლობენ. ასეთი შინაარსის არსებობა აშკარად უნდა იყოს აღნიშნული README.md ფაილის დასაწყისში და საკონტაქტო ინფორმაცია უნდა იყოს მოწოდებული SECURITY.md ფაილში. ნათქვამია, რომ ზოგადად GitHub არ აშორებს უსაფრთხოების კვლევასთან ერთად გამოქვეყნებულ ექსპლოიტებს უკვე გამჟღავნებული დაუცველობისთვის (არა 0-დღიანი), მაგრამ იტოვებს შესაძლებლობას შეზღუდოს წვდომა, თუ ჩათვლის, რომ რჩება ამ ექსპლოიტების რეალური შეტევებისთვის გამოყენების რისკი. და სერვისში GitHub მხარდაჭერა მიიღო პრეტენზიები შეტევებისთვის გამოყენებული კოდის შესახებ.

წყარო: opennet.ru