GitHub រឹតបន្តឹងច្បាប់ជុំវិញការបង្ហោះការស្រាវជ្រាវសុវត្ថិភាព

GitHub បានបោះពុម្ពផ្សាយការផ្លាស់ប្តូរគោលនយោបាយដែលរៀបរាប់អំពីគោលការណ៍ទាក់ទងនឹងការបង្ហោះការកេងប្រវ័ញ្ច និងការស្រាវជ្រាវមេរោគ ក៏ដូចជាការអនុលោមតាមច្បាប់រក្សាសិទ្ធិសហស្សវត្សរ៍ឌីជីថលអាមេរិក (DMCA)។ ការផ្លាស់ប្តូរនៅតែស្ថិតក្នុងស្ថានភាពព្រាង ដែលអាចរកបានសម្រាប់ការពិភាក្សាក្នុងរយៈពេល 30 ថ្ងៃ។

បន្ថែមពីលើការហាមឃាត់ពីមុនមកលើការចែកចាយ និងធានាការដំឡើង ឬការចែកចាយមេរោគសកម្ម និងការកេងប្រវ័ញ្ច លក្ខខណ្ឌខាងក្រោមត្រូវបានបន្ថែមទៅច្បាប់អនុលោមតាម DMCA៖

• ការហាមឃាត់យ៉ាងច្បាស់លាស់ក្នុងការដាក់នៅក្នុងបច្ចេកវិទ្យាឃ្លាំងសម្រាប់ការរំលងមធ្យោបាយបច្ចេកទេសនៃការការពារការរក្សាសិទ្ធិ រួមទាំងលេខកូដអាជ្ញាប័ណ្ណ ក៏ដូចជាកម្មវិធីសម្រាប់បង្កើតកូនសោ រំលងការផ្ទៀងផ្ទាត់គន្លឹះ និងពង្រីករយៈពេលទំនេរនៃការងារ។
• នីតិវិធីសម្រាប់ការដាក់ពាក្យសុំដកកូដបែបនេះកំពុងត្រូវបានណែនាំ។ អ្នកដាក់ពាក្យសុំលុបគឺតម្រូវឱ្យផ្តល់ព័ត៌មានលម្អិតបច្ចេកទេស ដោយមានបំណងប្រកាសថានឹងដាក់សំណើសុំពិនិត្យមុនពេលបិទ។
• នៅពេលដែលឃ្លាំងត្រូវបានរារាំង ពួកគេសន្យាថានឹងផ្តល់នូវសមត្ថភាពក្នុងការនាំចេញបញ្ហា និង PRs និងផ្តល់សេវាកម្មស្របច្បាប់។

ការផ្លាស់ប្តូរចំពោះច្បាប់នៃការកេងប្រវ័ញ្ច និងមេរោគប្រឆាំងនឹងការរិះគន់ដែលបានកើតឡើងបន្ទាប់ពីក្រុមហ៊ុន Microsoft បានដកចេញគំរូគំរូ Microsoft Exchange ដែលប្រើដើម្បីបើកការវាយប្រហារ។ ច្បាប់ថ្មីនេះព្យាយាមបំបែកខ្លឹមសារគ្រោះថ្នាក់ដែលប្រើសម្រាប់ការវាយប្រហារសកម្មពីកូដដែលគាំទ្រការស្រាវជ្រាវសុវត្ថិភាព។ ការ​ផ្លាស់​ប្តូ​រ​បាន​ធ្វើ​ឡើង​:

• វាត្រូវបានហាមឃាត់មិនត្រឹមតែវាយប្រហារអ្នកប្រើប្រាស់ GitHub ដោយការបង្ហោះខ្លឹមសារជាមួយនឹងការកេងប្រវ័ញ្ចលើវា ឬប្រើប្រាស់ GitHub ជាមធ្យោបាយនៃការផ្តល់ការកេងប្រវ័ញ្ចដូចករណីមុននោះទេ ប៉ុន្តែថែមទាំងបង្ហោះកូដព្យាបាទ និងការកេងប្រវ័ញ្ចដែលអមជាមួយនឹងការវាយប្រហារសកម្មផងដែរ។ ជាទូទៅ វាមិនត្រូវបានហាមឃាត់ក្នុងការបង្ហោះឧទាហរណ៍នៃការកេងប្រវ័ញ្ចដែលបានរៀបចំកំឡុងពេលស្រាវជ្រាវសុវត្ថិភាព និងប៉ះពាល់ដល់ភាពងាយរងគ្រោះដែលត្រូវបានជួសជុលរួចហើយនោះទេ ប៉ុន្តែអ្វីគ្រប់យ៉ាងនឹងអាស្រ័យលើរបៀបដែលពាក្យ "ការវាយប្រហារសកម្ម" ត្រូវបានបកស្រាយ។

  ឧទាហរណ៍ ការបោះពុម្ពកូដ JavaScript ក្នុងទម្រង់នៃអត្ថបទប្រភពណាមួយដែលវាយប្រហារកម្មវិធីរុករកតាមលក្ខណៈវិនិច្ឆ័យនេះ - គ្មានអ្វីរារាំងអ្នកវាយប្រហារពីការទាញយកកូដប្រភពទៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់ជនរងគ្រោះដោយប្រើការទាញយកទេ ដោយបិទភ្ជាប់វាដោយស្វ័យប្រវត្តិ ប្រសិនបើគំរូការកេងប្រវ័ញ្ចត្រូវបានបោះពុម្ពផ្សាយក្នុងទម្រង់ដែលមិនអាចដំណើរការបាន។ និងប្រតិបត្តិវា។ ដូចគ្នានេះដែរជាមួយនឹងកូដផ្សេងទៀតឧទាហរណ៍នៅក្នុង C ++ - គ្មានអ្វីរារាំងអ្នកពីការចងក្រងវានៅលើម៉ាស៊ីនដែលត្រូវបានវាយប្រហារ និងប្រតិបត្តិវានោះទេ។ ប្រសិនបើឃ្លាំងដែលមានលេខកូដស្រដៀងគ្នាត្រូវបានរកឃើញ វាត្រូវបានគេគ្រោងនឹងមិនលុបវាទេ ប៉ុន្តែដើម្បីទប់ស្កាត់ការចូលប្រើវា។

• ផ្នែកហាមឃាត់ "សារឥតបានការ" ការក្លែងបន្លំ ការចូលរួមនៅក្នុងទីផ្សារបោកប្រាស់ កម្មវិធីសម្រាប់ការបំពានច្បាប់នៃគេហទំព័រណាមួយ ការបន្លំ និងការប៉ុនប៉ងរបស់វាត្រូវបានផ្លាស់ប្តូរខ្ពស់ជាងនៅក្នុងអត្ថបទ។
• កថាខណ្ឌមួយត្រូវបានបន្ថែមដោយពន្យល់ពីលទ្ធភាពនៃការដាក់បណ្តឹងឧទ្ធរណ៍ក្នុងករណីមានការមិនយល់ស្របជាមួយនឹងការទប់ស្កាត់។
• តម្រូវការត្រូវបានបន្ថែមសម្រាប់ម្ចាស់ឃ្លាំងដែលផ្ទុកមាតិកាដែលមានគ្រោះថ្នាក់ជាផ្នែកនៃការស្រាវជ្រាវសុវត្ថិភាព។ វត្តមាននៃមាតិកាបែបនេះត្រូវតែត្រូវបានលើកឡើងយ៉ាងច្បាស់នៅដើមឯកសារ README.md ហើយព័ត៌មានទំនាក់ទំនងត្រូវតែផ្តល់ជូននៅក្នុងឯកសារ SECURITY.md ។ វាត្រូវបានចែងថាជាទូទៅ GitHub មិនដកចេញការកេងប្រវ័ញ្ចដែលបានបោះពុម្ពផ្សាយរួមជាមួយនឹងការស្រាវជ្រាវសុវត្ថិភាពសម្រាប់ភាពងាយរងគ្រោះដែលបានបង្ហាញរួចហើយ (មិនមែន 0-day) ប៉ុន្តែរក្សាឱកាសដើម្បីរឹតបន្តឹងការចូលប្រើប្រសិនបើវាចាត់ទុកថានៅតែមានហានិភ័យនៃការកេងប្រវ័ញ្ចទាំងនេះត្រូវបានប្រើសម្រាប់ការវាយប្រហារពិតប្រាកដ។ ហើយនៅក្នុងសេវាកម្មជំនួយ GitHub បានទទួលការត្អូញត្អែរអំពីកូដដែលត្រូវបានប្រើសម្រាប់ការវាយប្រហារ។

ប្រភព: opennet.ru