GitHub ເຂັ້ມງວດກົດລະບຽບກ່ຽວກັບການປະກາດການຄົ້ນຄວ້າຄວາມປອດໄພ

GitHub ໄດ້ເຜີຍແຜ່ການປ່ຽນແປງນະໂຍບາຍທີ່ກໍານົດນະໂຍບາຍກ່ຽວກັບການປະກາດການຂູດຮີດແລະການຄົ້ນຄວ້າ malware, ເຊັ່ນດຽວກັນກັບການປະຕິບັດຕາມກົດຫມາຍວ່າດ້ວຍລິຂະສິດຂອງສະຫະລັດ Digital Millennium (DMCA). ການ​ປ່ຽນ​ແປງ​ຍັງ​ຢູ່​ໃນ​ສະ​ຖາ​ນະ​ພາບ​ຮ່າງ, ມີ​ໃຫ້​ສໍາ​ລັບ​ການ​ປຶກ​ສາ​ຫາ​ລື​ພາຍ​ໃນ 30 ວັນ.

ນອກເໜືອໄປຈາກຂໍ້ຫ້າມໃນເມື່ອກ່ອນກ່ຽວກັບການແຈກຢາຍ ແລະຮັບປະກັນການຕິດຕັ້ງ ຫຼືການຈັດສົ່ງ malware ແລະການໃຊ້ປະໂຫຍດ, ຂໍ້ກໍານົດຕໍ່ໄປນີ້ໄດ້ຖືກເພີ່ມເຂົ້າໃນກົດລະບຽບການປະຕິບັດຕາມ DMCA:

• ການຫ້າມຢ່າງຈະແຈ້ງກ່ຽວກັບການວາງໄວ້ໃນເທກໂນໂລຍີ repository ສໍາລັບ bypassing ວິທີການດ້ານເຕັກນິກຂອງການປົກປ້ອງລິຂະສິດ, ລວມທັງລະຫັດໃບອະນຸຍາດ, ເຊັ່ນດຽວກັນກັບໂຄງການສໍາລັບການສ້າງລະຫັດ, ຂ້າມການກວດສອບລະຫັດແລະການຂະຫຍາຍໄລຍະເວລາການເຮັດວຽກຟຣີ.
• ຂັ້ນຕອນການຍື່ນໃບສະໝັກເພື່ອລຶບລະຫັດດັ່ງກ່າວກຳລັງຖືກນຳສະເໜີ. ຜູ້ສະຫມັກສໍາລັບການລຶບແມ່ນຈໍາເປັນຕ້ອງໃຫ້ລາຍລະອຽດດ້ານວິຊາການ, ດ້ວຍຄວາມຕັ້ງໃຈປະກາດທີ່ຈະສົ່ງຄໍາຮ້ອງສະຫມັກສໍາລັບການກວດກາກ່ອນທີ່ຈະສະກັດ.
• ໃນເວລາທີ່ repository ໄດ້ຖືກສະກັດ, ພວກເຂົາເຈົ້າສັນຍາວ່າຈະສະຫນອງຄວາມສາມາດໃນການສົ່ງອອກບັນຫາແລະ PRs, ແລະໃຫ້ບໍລິການທາງດ້ານກົດຫມາຍ.

ການປ່ຽນແປງກົດລະບຽບການຂູດຮີດແລະ malware ແກ້ໄຂການວິພາກວິຈານທີ່ເກີດຂື້ນຫຼັງຈາກ Microsoft ຖອນຕົວແບບ Microsoft Exchange ທີ່ໃຊ້ເພື່ອເປີດຕົວການໂຈມຕີ. ກົດລະບຽບໃຫມ່ພະຍາຍາມແຍກຢ່າງຊັດເຈນເນື້ອຫາທີ່ເປັນອັນຕະລາຍທີ່ໃຊ້ສໍາລັບການໂຈມຕີທີ່ມີການເຄື່ອນໄຫວຈາກລະຫັດທີ່ສະຫນັບສະຫນູນການຄົ້ນຄວ້າຄວາມປອດໄພ. ມີການປ່ຽນແປງ:

• ມັນຖືກຫ້າມບໍ່ພຽງແຕ່ໂຈມຕີຜູ້ໃຊ້ GitHub ໂດຍການໂພດເນື້ອຫາດ້ວຍການຂູດຮີດໃນມັນຫຼືໃຊ້ GitHub ເປັນວິທີການສົ່ງການຂູດຮີດ, ຄືກັນກັບກໍລະນີກ່ອນ, ແຕ່ຍັງຈະປະກາດລະຫັດທີ່ເປັນອັນຕະລາຍແລະການຂູດຮີດທີ່ມາພ້ອມກັບການໂຈມຕີທີ່ມີການເຄື່ອນໄຫວ. ໂດຍທົ່ວໄປແລ້ວ, ມັນບໍ່ໄດ້ຖືກຫ້າມບໍ່ໃຫ້ສະແດງຕົວຢ່າງຂອງການຂູດຮີດທີ່ກະກຽມໃນລະຫວ່າງການຄົ້ນຄ້ວາຄວາມປອດໄພແລະຜົນກະທົບຕໍ່ຊ່ອງໂຫວ່ທີ່ຖືກແກ້ໄຂແລ້ວ, ແຕ່ທຸກສິ່ງທຸກຢ່າງຈະຂຶ້ນກັບວິທີທີ່ຄໍາວ່າ "ການໂຈມຕີຢ່າງຫ້າວຫັນ".

  ຕົວຢ່າງ, ການເຜີຍແຜ່ລະຫັດ JavaScript ໃນຮູບແບບໃດໆຂອງຂໍ້ຄວາມແຫຼ່ງທີ່ໂຈມຕີຕົວທ່ອງເວັບພາຍໃຕ້ເງື່ອນໄຂນີ້ - ບໍ່ມີຫຍັງປ້ອງກັນຜູ້ໂຈມຕີຈາກການດາວໂຫລດລະຫັດແຫຼ່ງເຂົ້າໄປໃນຕົວທ່ອງເວັບຂອງຜູ້ຖືກເຄາະຮ້າຍໂດຍໃຊ້ fetch, ແກ້ໄຂມັນໂດຍອັດຕະໂນມັດຖ້າ prototype exploit ຖືກເຜີຍແຜ່ໃນຮູບແບບທີ່ບໍ່ສາມາດປະຕິບັດໄດ້. , ແລະ​ປະ​ຕິ​ບັດ​ມັນ​. ເຊັ່ນດຽວກັນກັບລະຫັດອື່ນໆ, ຕົວຢ່າງໃນ C ++ - ບໍ່ມີຫຍັງປ້ອງກັນທ່ານຈາກການລວບລວມມັນຢູ່ໃນເຄື່ອງທີ່ຖືກໂຈມຕີແລະປະຕິບັດມັນ. ຖ້າບ່ອນເກັບມ້ຽນທີ່ມີລະຫັດຄ້າຍຄືກັນຖືກຄົ້ນພົບ, ມັນຖືກວາງແຜນທີ່ຈະບໍ່ລຶບມັນ, ແຕ່ເພື່ອສະກັດການເຂົ້າເຖິງມັນ.

• ພາກສ່ວນທີ່ຫ້າມ "ຂີ້ເຫຍື້ອ", ການໂກງ, ການມີສ່ວນຮ່ວມໃນຕະຫຼາດການໂກງ, ໂຄງການລະເມີດກົດລະບຽບຂອງສະຖານທີ່ໃດກໍ່ຕາມ, phishing ແລະຄວາມພະຍາຍາມຂອງມັນໄດ້ຖືກຍ້າຍໄປຢູ່ໃນຂໍ້ຄວາມ.
• ວັກຫນຶ່ງໄດ້ຖືກເພີ່ມອະທິບາຍເຖິງຄວາມເປັນໄປໄດ້ຂອງການຍື່ນອຸທອນໃນກໍລະນີທີ່ບໍ່ເຫັນດີກັບການຂັດຂວາງ.
• ຄວາມຕ້ອງການໄດ້ຖືກເພີ່ມສໍາລັບເຈົ້າຂອງ repositories ທີ່ໂຮດເນື້ອຫາທີ່ອາດຈະເປັນອັນຕະລາຍເປັນສ່ວນຫນຶ່ງຂອງການຄົ້ນຄວ້າຄວາມປອດໄພ. ການປະກົດຕົວຂອງເນື້ອຫາດັ່ງກ່າວຈະຕ້ອງຖືກກ່າວເຖິງຢ່າງຈະແຈ້ງໃນຕອນຕົ້ນຂອງໄຟລ໌ README.md, ແລະຂໍ້ມູນການຕິດຕໍ່ຕ້ອງຖືກລະບຸໄວ້ໃນໄຟລ໌ SECURITY.md. ມັນໄດ້ຖືກລະບຸໄວ້ວ່າໂດຍທົ່ວໄປ GitHub ບໍ່ໄດ້ເອົາການຂູດຮີດທີ່ຖືກເຜີຍແຜ່ພ້ອມກັບການຄົ້ນຄວ້າຄວາມປອດໄພສໍາລັບຊ່ອງໂຫວ່ທີ່ເປີດເຜີຍແລ້ວ (ບໍ່ແມ່ນ 0-day), ແຕ່ສະຫງວນໂອກາດທີ່ຈະຈໍາກັດການເຂົ້າເຖິງຖ້າມັນພິຈາລະນາວ່າມີຄວາມສ່ຽງທີ່ການຂູດຮີດເຫຼົ່ານີ້ຖືກໃຊ້ສໍາລັບການໂຈມຕີທີ່ແທ້ຈິງ. ແລະໃນການບໍລິການສະຫນັບສະຫນູນ GitHub ໄດ້ຮັບການຮ້ອງທຸກກ່ຽວກັບລະຫັດທີ່ຖືກນໍາໃຊ້ສໍາລັບການໂຈມຕີ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru