GitHub सुरक्षा अनुसन्धान पोस्ट गर्ने वरिपरि नियमहरू कडा बनाउँछ

GitHub ले नीति परिवर्तनहरू प्रकाशित गरेको छ जसले शोषण र मालवेयर अनुसन्धानको पोस्टिंग, साथै US Digital Millennium Copyright Act (DMCA) को अनुपालन सम्बन्धी नीतिहरूको रूपरेखा दिन्छ। परिवर्तनहरू अझै पनि मस्यौदा स्थितिमा छन्, छलफलको लागि 30 दिन भित्र उपलब्ध छन्।

सक्रिय मालवेयर र शोषणहरूको स्थापना वा डेलिभरी वितरण र सुनिश्चित गर्न पहिलेको वर्तमान निषेधको अतिरिक्त, निम्न सर्तहरू DMCA अनुपालन नियमहरूमा थपिएका छन्:

• प्रतिलिपि अधिकार सुरक्षाका प्राविधिक माध्यमहरू, लाइसेन्स कुञ्जीहरू, साथै कुञ्जीहरू उत्पन्न गर्ने कार्यक्रमहरू, कुञ्जी प्रमाणीकरणलाई बाइपास गर्ने र कामको निःशुल्क अवधि विस्तार गर्नका लागि भण्डार टेक्नोलोजीहरूमा राख्ने स्पष्ट निषेध।
• यस्तो कोड हटाउनको लागि आवेदन फाइल गर्ने प्रक्रिया ल्याइँदैछ। मेटाउनको लागि आवेदकले प्राविधिक विवरणहरू प्रदान गर्न आवश्यक छ, ब्लक गर्नु अघि परीक्षाको लागि आवेदन पेश गर्ने घोषणा गरिएको इरादाको साथ।
• जब भण्डार अवरुद्ध हुन्छ, तिनीहरूले मुद्दाहरू र PRs निर्यात गर्ने क्षमता प्रदान गर्ने वाचा गर्छन्, र कानुनी सेवाहरू प्रस्ताव गर्छन्।

शोषण र मालवेयर नियमहरूमा परिवर्तनहरूले आलोचनालाई सम्बोधन गरे जुन माइक्रोसफ्टले आक्रमणहरू सुरु गर्न प्रयोग गरिने प्रोटोटाइप माइक्रोसफ्ट एक्सचेन्ज शोषण हटाएपछि आएको थियो। नयाँ नियमहरूले सुरक्षा अनुसन्धानलाई समर्थन गर्ने कोडबाट सक्रिय आक्रमणका लागि प्रयोग हुने खतरनाक सामग्रीलाई स्पष्ट रूपमा अलग गर्ने प्रयास गर्दछ। गरिएका परिवर्तनहरू:

• GitHub प्रयोगकर्ताहरूलाई यसमा शोषणहरू सहित सामग्री पोस्ट गरेर वा GitHub लाई शोषणहरू प्रदान गर्ने माध्यमको रूपमा प्रयोग गर्न मात्र होइन, पहिले जस्तो थियो, तर सक्रिय आक्रमणहरूसँगै दुर्भावनापूर्ण कोड र शोषणहरू पोस्ट गर्न पनि निषेध गरिएको छ। सामान्यतया, सुरक्षा अनुसन्धानको क्रममा तयार गरिएका शोषणका उदाहरणहरू पोस्ट गर्न निषेध गरिएको छैन र पहिले नै निश्चित भइसकेका कमजोरीहरूलाई असर गर्छ, तर सबै कुरा "सक्रिय आक्रमणहरू" शब्दलाई कसरी व्याख्या गरिन्छ भन्नेमा निर्भर हुनेछ।

  उदाहरणका लागि, ब्राउजरमा आक्रमण गर्ने स्रोत पाठको कुनै पनि रूपमा JavaScript कोड प्रकाशित गर्नु यस मापदण्ड अन्तर्गत पर्दछ - आक्रमणकारीलाई पीडितको ब्राउजरमा स्रोत कोड डाउनलोड गर्नबाट कुनै पनि कुराले रोक्दैन, यदि एक्स्प्लोइट प्रोटोटाइप अपरिवर्तनीय रूपमा प्रकाशित भएको छ भने यसलाई स्वचालित रूपमा प्याच गर्दछ। , र यसलाई कार्यान्वयन गर्दै। त्यस्तै कुनै पनि अन्य कोडसँग, उदाहरणका लागि C++ मा - कुनै पनि कुराले तपाईंलाई आक्रमण गरिएको मेसिनमा कम्पाइल गर्न र कार्यान्वयन गर्नबाट रोक्दैन। यदि समान कोड भएको भण्डार फेला पर्यो भने, यसलाई मेटाउने होइन, तर यसमा पहुँच रोक्ने योजना छ।

• "स्प्याम", धोखाधडी, ठगी बजारमा सहभागिता, कुनै पनि साइटको नियम उल्लङ्घन गर्ने कार्यक्रमहरू, फिसिङ र यसका प्रयासहरूलाई निषेध गर्ने खण्ड पाठमा माथि सारिएको छ।
• अवरुद्धसँग असहमति भएमा पुनरावेदन फाइल गर्ने सम्भावनालाई व्याख्या गर्दै एउटा अनुच्छेद थपिएको छ।
• सुरक्षा अनुसन्धानको भागको रूपमा सम्भावित खतरनाक सामग्री होस्ट गर्ने भण्डारहरूको मालिकहरूको लागि आवश्यकता थपिएको छ। यस्तो सामग्रीको उपस्थिति README.md फाइलको सुरुमा स्पष्ट रूपमा उल्लेख गरिएको हुनुपर्छ, र सम्पर्क जानकारी SECURITY.md फाइलमा उपलब्ध गराउनुपर्छ। यो भनिएको छ कि सामान्यतया GitHub ले पहिले नै खुलासा गरिसकेका कमजोरीहरू (0-दिन होइन) को लागि सुरक्षा अनुसन्धानको साथ प्रकाशित शोषणहरू हटाउँदैन, तर पहुँच प्रतिबन्ध गर्ने अवसर आरक्षित गर्दछ यदि यसले यी शोषणहरू वास्तविक आक्रमणहरूको लागि प्रयोग हुने जोखिम रहेको मान्दछ भने। र सेवामा GitHub समर्थनले आक्रमणको लागि प्रयोग भइरहेको कोडको बारेमा गुनासोहरू प्राप्त गरेको छ।

स्रोत: opennet.ru