സുരക്ഷാ ഗവേഷണം പോസ്റ്റുചെയ്യുന്നതിന് GitHub നിയമങ്ങൾ കർശനമാക്കുന്നു

ചൂഷണങ്ങളും ക്ഷുദ്രവെയർ ഗവേഷണങ്ങളും പോസ്റ്റുചെയ്യുന്നതിനുള്ള നയങ്ങളും യുഎസ് ഡിജിറ്റൽ മില്ലേനിയം പകർപ്പവകാശ നിയമം (DMCA) പാലിക്കുന്നതുമായി ബന്ധപ്പെട്ട നയ മാറ്റങ്ങൾ GitHub പ്രസിദ്ധീകരിച്ചു. മാറ്റങ്ങൾ ഇപ്പോഴും കരട് നിലയിലാണ്, 30 ദിവസത്തിനുള്ളിൽ ചർച്ചയ്ക്ക് ലഭ്യമാണ്.

സജീവമായ ക്ഷുദ്രവെയറിന്റെയും ചൂഷണങ്ങളുടെയും ഇൻസ്റ്റാളേഷനോ ഡെലിവറിയോ വിതരണം ചെയ്യുന്നതിനും വിതരണം ചെയ്യുന്നതിനും മുമ്പ് നിലവിലുള്ള നിരോധനത്തിന് പുറമേ, ഇനിപ്പറയുന്ന നിബന്ധനകൾ DMCA പാലിക്കൽ നിയമങ്ങളിൽ ചേർത്തിട്ടുണ്ട്:

• ലൈസൻസ് കീകൾ ഉൾപ്പെടെയുള്ള പകർപ്പവകാശ സംരക്ഷണത്തിന്റെ സാങ്കേതിക മാർഗങ്ങൾ, കീകൾ സൃഷ്ടിക്കുന്നതിനുള്ള പ്രോഗ്രാമുകൾ, കീ വെരിഫിക്കേഷൻ ഒഴിവാക്കൽ, ജോലിയുടെ സൗജന്യ കാലയളവ് നീട്ടൽ എന്നിവയെ മറികടക്കുന്നതിനുള്ള സാങ്കേതിക വിദ്യകൾ റിപ്പോസിറ്ററിയിൽ സ്ഥാപിക്കുന്നതിനുള്ള വ്യക്തമായ നിരോധനം.
• അത്തരമൊരു കോഡ് നീക്കം ചെയ്യുന്നതിനായി ഒരു അപേക്ഷ ഫയൽ ചെയ്യുന്നതിനുള്ള ഒരു നടപടിക്രമം അവതരിപ്പിക്കുന്നു. തടയുന്നതിന് മുമ്പ് പരീക്ഷയ്ക്ക് അപേക്ഷ സമർപ്പിക്കാനുള്ള പ്രഖ്യാപിത ഉദ്ദേശ്യത്തോടെ, ഇല്ലാതാക്കുന്നതിനുള്ള അപേക്ഷകൻ സാങ്കേതിക വിശദാംശങ്ങൾ നൽകേണ്ടതുണ്ട്.
• റിപ്പോസിറ്ററി ബ്ലോക്ക് ചെയ്യുമ്പോൾ, പ്രശ്നങ്ങളും PR-കളും കയറ്റുമതി ചെയ്യാനുള്ള കഴിവ് നൽകുമെന്നും നിയമപരമായ സേവനങ്ങൾ വാഗ്ദാനം ചെയ്യുമെന്നും അവർ വാഗ്ദാനം ചെയ്യുന്നു.

ആക്രമണങ്ങൾ നടത്താൻ ഉപയോഗിച്ച മൈക്രോസോഫ്റ്റ് എക്‌സ്‌ചേഞ്ച് എക്‌സ്‌പ്ലോയിറ്റ് പ്രോട്ടോടൈപ്പ് മൈക്രോസോഫ്റ്റ് നീക്കം ചെയ്തതിന് ശേഷം വന്ന വിമർശനങ്ങളെയാണ് ചൂഷണങ്ങളിലും മാൽവെയർ നിയമങ്ങളിലുമുള്ള മാറ്റങ്ങൾ പരിഹരിക്കുന്നത്. സുരക്ഷാ ഗവേഷണത്തെ പിന്തുണയ്ക്കുന്ന കോഡിൽ നിന്ന് സജീവമായ ആക്രമണങ്ങൾക്ക് ഉപയോഗിക്കുന്ന അപകടകരമായ ഉള്ളടക്കം വ്യക്തമായി വേർതിരിക്കാൻ പുതിയ നിയമങ്ങൾ ശ്രമിക്കുന്നു. വരുത്തിയ മാറ്റങ്ങൾ:

• GitHub ഉപയോക്താക്കളെ ചൂഷണം ചെയ്യുന്ന ഉള്ളടക്കം പോസ്റ്റുചെയ്യുന്നതിലൂടെയോ മുമ്പത്തെപ്പോലെ ചൂഷണങ്ങൾ നൽകുന്നതിനുള്ള ഒരു മാർഗമായി GitHub ഉപയോഗിക്കുന്നതിനോ മാത്രമല്ല, ക്ഷുദ്രകരമായ കോഡുകളും സജീവമായ ആക്രമണങ്ങൾക്കൊപ്പമുള്ള ചൂഷണങ്ങളും പോസ്റ്റുചെയ്യുന്നത് നിരോധിച്ചിരിക്കുന്നു. പൊതുവേ, സുരക്ഷാ ഗവേഷണ സമയത്ത് തയ്യാറാക്കിയ ചൂഷണങ്ങളുടെ ഉദാഹരണങ്ങൾ പോസ്റ്റുചെയ്യുന്നത് നിരോധിച്ചിട്ടില്ല, ഇതിനകം പരിഹരിച്ച കേടുപാടുകൾ ബാധിക്കുന്നു, എന്നാൽ എല്ലാം "സജീവ ആക്രമണങ്ങൾ" എന്ന പദം എങ്ങനെ വ്യാഖ്യാനിക്കപ്പെടുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കും.

  ഉദാഹരണത്തിന്, ഒരു ബ്രൗസറിനെ ആക്രമിക്കുന്ന ഏത് തരത്തിലുള്ള സോഴ്‌സ് ടെക്‌സ്‌റ്റിലും JavaScript കോഡ് പ്രസിദ്ധീകരിക്കുന്നത് ഈ മാനദണ്ഡത്തിന് കീഴിലാണ് - ആക്രമണകാരിയെ ആക്രമിക്കുന്നയാളെ ഇരയുടെ ബ്രൗസറിലേക്ക് ഫെച്ച് ഉപയോഗിച്ച് ഡൗൺലോഡ് ചെയ്യുന്നതിൽ നിന്ന് തടയുന്നില്ല, എക്‌സ്‌പ്ലോയിറ്റ് പ്രോട്ടോടൈപ്പ് പ്രവർത്തനരഹിതമായ രൂപത്തിൽ പ്രസിദ്ധീകരിച്ചാൽ അത് സ്വയമേവ പാച്ച് ചെയ്യുന്നു. , അത് നടപ്പിലാക്കുന്നു. അതുപോലെ മറ്റേതൊരു കോഡുമായും, ഉദാഹരണത്തിന് C++-ൽ - ആക്രമിക്കപ്പെട്ട മെഷീനിൽ കംപൈൽ ചെയ്യുന്നതിൽ നിന്നും അത് നടപ്പിലാക്കുന്നതിൽ നിന്നും ഒന്നും നിങ്ങളെ തടയുന്നില്ല. സമാനമായ കോഡുള്ള ഒരു ശേഖരം കണ്ടെത്തിയാൽ, അത് ഇല്ലാതാക്കാനല്ല, അതിലേക്കുള്ള ആക്സസ് തടയാനാണ് പദ്ധതിയിട്ടിരിക്കുന്നത്.

• "സ്പാം", വഞ്ചന, തട്ടിപ്പ് വിപണിയിലെ പങ്കാളിത്തം, ഏതെങ്കിലും സൈറ്റുകളുടെ നിയമങ്ങൾ ലംഘിക്കുന്നതിനുള്ള പ്രോഗ്രാമുകൾ, ഫിഷിംഗ്, അതിന്റെ ശ്രമങ്ങൾ എന്നിവ നിരോധിക്കുന്ന വിഭാഗം ടെക്സ്റ്റിൽ ഉയർന്ന് നീക്കി.
• തടയുന്നതിനോട് വിയോജിപ്പുണ്ടെങ്കിൽ അപ്പീൽ ഫയൽ ചെയ്യാനുള്ള സാധ്യത വിശദീകരിക്കുന്ന ഒരു ഖണ്ഡിക ചേർത്തിട്ടുണ്ട്.
• സുരക്ഷാ ഗവേഷണത്തിന്റെ ഭാഗമായി അപകടകരമായേക്കാവുന്ന ഉള്ളടക്കം ഹോസ്റ്റ് ചെയ്യുന്ന ശേഖരണങ്ങളുടെ ഉടമകൾക്കായി ഒരു ആവശ്യകത ചേർത്തു. അത്തരം ഉള്ളടക്കത്തിന്റെ സാന്നിധ്യം README.md ഫയലിന്റെ തുടക്കത്തിൽ വ്യക്തമായി സൂചിപ്പിച്ചിരിക്കണം, കൂടാതെ ബന്ധപ്പെടാനുള്ള വിവരങ്ങൾ SECURITY.md ഫയലിൽ നൽകുകയും വേണം. പൊതുവായി GitHub ഇതിനകം വെളിപ്പെടുത്തിയ കേടുപാടുകൾക്കായി (0-ദിവസമല്ല) സുരക്ഷാ ഗവേഷണത്തോടൊപ്പം പ്രസിദ്ധീകരിച്ച ചൂഷണങ്ങൾ നീക്കം ചെയ്യില്ല, എന്നാൽ യഥാർത്ഥ ആക്രമണങ്ങൾക്ക് ഈ ചൂഷണങ്ങൾ ഉപയോഗിക്കാനുള്ള സാധ്യത നിലനിൽക്കുന്നുണ്ടെന്ന് കരുതുന്നെങ്കിൽ ആക്സസ് നിയന്ത്രിക്കാനുള്ള അവസരം നിക്ഷിപ്തമാണ്. കൂടാതെ സേവനത്തിൽ GitHub പിന്തുണയ്‌ക്ക് ആക്രമണങ്ങൾക്കായി ഉപയോഗിക്കുന്ന കോഡിനെക്കുറിച്ച് പരാതികൾ ലഭിച്ചു.

അവലംബം: opennet.ru