GitHub는 보안 연구 게시에 대한 규칙을 강화합니다.

GitHub는 익스플로잇 게시 및 맬웨어 연구와 미국 디지털 밀레니엄 저작권법(DMCA) 준수에 관한 정책을 개괄적으로 설명하는 정책 변경 사항을 발표했습니다. 변경 사항은 아직 초안 상태이며 30일 이내에 논의가 가능합니다.

활성 맬웨어 및 악용의 설치 또는 전달을 배포하고 보장하는 것에 대한 이전의 금지 사항 외에도 다음 조건이 DMCA 준수 규칙에 추가되었습니다.

• 라이센스 키를 포함한 저작권 보호의 기술적 수단을 우회하기 위한 기술과 키 생성 프로그램, 키 검증 우회 및 무료 작업 기간 연장을 위한 기술을 저장소에 배치하는 것을 명시적으로 금지합니다.
• 이러한 코드를 제거하기 위한 신청서를 제출하는 절차가 도입되었습니다. 삭제 신청자는 차단 전 심사 신청서를 제출하겠다는 의사를 표명하고 기술적 세부사항을 제공해야 합니다.
• 저장소가 차단되면 이슈 및 PR 내보내기 기능을 제공하고 법률 서비스를 제공하겠다고 약속합니다.

익스플로잇 및 맬웨어 규칙에 대한 변경 사항은 Microsoft가 공격을 시작하는 데 사용된 프로토타입 Microsoft Exchange 익스플로잇을 제거한 후 발생한 비판을 해결합니다. 새로운 규칙은 보안 연구를 지원하는 코드에서 활성 공격에 사용되는 위험한 콘텐츠를 명시적으로 분리하려고 시도합니다. 변경사항:

• 이전과 마찬가지로 익스플로잇이 포함된 콘텐츠를 게시하여 GitHub 사용자를 공격하거나 GitHub를 익스플로잇 전달 수단으로 사용하는 것뿐만 아니라 적극적인 공격에 수반되는 악성 코드 및 익스플로잇을 게시하는 것도 금지됩니다. 일반적으로 보안 연구 중에 준비되고 이미 수정된 취약점에 영향을 미치는 공격 사례를 게시하는 것은 금지되지 않지만 모든 것은 "활성 공격"이라는 용어가 어떻게 해석되는지에 따라 달라집니다.

  예를 들어, 브라우저를 공격하는 모든 형태의 소스 텍스트로 JavaScript 코드를 게시하는 것은 이 기준에 속합니다. 공격자가 가져오기를 사용하여 소스 코드를 피해자의 브라우저에 다운로드하는 것을 막을 수 있는 방법은 없으며, 익스플로잇 프로토타입이 작동 불가능한 형식으로 게시되면 자동으로 패치됩니다. , 그리고 그것을 실행합니다. 예를 들어 C++의 다른 코드와 마찬가지로 공격받은 시스템에서 코드를 컴파일하고 실행하는 것을 방해하는 것은 없습니다. 유사한 코드가 있는 저장소가 발견되면 삭제하지 않고 접근을 차단할 계획입니다.

• "스팸", 부정 행위, 부정 행위 시장 참여, 모든 사이트의 규칙을 위반하는 프로그램, 피싱 및 그 시도를 금지하는 섹션이 텍스트에서 더 높게 이동되었습니다.
• 차단에 동의하지 않는 경우 항소를 제기할 수 있는 가능성을 설명하는 단락이 추가되었습니다.
• 보안 연구의 일환으로 잠재적으로 위험한 콘텐츠를 호스팅하는 저장소 소유자에 대한 요구 사항이 추가되었습니다. 이러한 콘텐츠의 존재 여부는 README.md 파일 시작 부분에 명시적으로 언급되어야 하며 연락처 정보는 SECURITY.md 파일에 제공되어야 합니다. 일반적으로 GitHub는 이미 공개된 취약점에 대해 보안 연구와 함께 게시된 익스플로잇을 제거하지 않지만(0-day 아님) 이러한 익스플로잇이 실제 공격에 사용될 위험이 남아 있다고 판단하는 경우 액세스를 제한할 수 있는 기회를 보유한다고 명시되어 있습니다. 서비스에서 GitHub 지원팀은 공격에 사용되는 코드에 대한 불만을 접수했습니다.

출처 : opennet.ru