GitHub heeft wijzigingen gepubliceerd in de regels die het beleid voor het plaatsen van exploits en resultaten van malware-onderzoek, evenals de naleving van de in de VS geldende Digital Millennium Copyright Act (DMCA), bepalen. De wijzigingen bevinden zich momenteel in een conceptfase en zijn 30 dagen open voor discussie.
Naast het eerder aanwezige verbod op de verspreiding en het faciliteren van de installatie of levering van actieve malware en exploits, zijn er de volgende voorwaarden toegevoegd aan de DMCA-nalevingsregels:
- Er is een expliciet verbod ingesteld op het plaatsen van technologieën in repositories die zijn ontworpen om technische beschermingsmiddelen voor auteursrechten te omzeilen, inclusief licentiesleutels, alsook programma's voor het genereren van sleutels, het omzeilen van sleutels en het verlengen van gratis gebruiksperiodes.
- Er wordt een procedure ingevoerd voor het indienen van een verwijderverzoek voor dergelijke code. Van de indiener van het verwijderverzoek wordt vereist dat hij technische details verstrekt, met de verklaarde intentie om dit verzoek ter beoordeling voor blokkering in te dienen.
- Bij blokkering van een repository beloven ze de mogelijkheid te bieden om issue's en PR's te exporteren, en juridische diensten aan te bieden.
De wijzigingen in de regels met betrekking tot exploits en malware houden rekening met de kritiek die is geuit na het verwijderen door Microsoft van een exploit-prototype voor Microsoft Exchange dat werd gebruikt om aanvallen uit te voeren. In de nieuwe regels is er een poging gedaan om duidelijk te scheiden tussen inhoud die gevaar vormt en wordt gebruikt voor het uitvoeren van actieve aanvallen, en code die veiligheidsresearch vergezelt. De aangebrachte wijzigingen:
- Het is niet alleen verboden om GitHub-gebruikers aan te vallen door inhoud met exploits te plaatsen of GitHub als een middel voor de levering van exploits te gebruiken, zoals voorheen, maar ook om schadelijke code en exploits te huisvesten die verbonden zijn aan het uitvoeren van actieve aanvallen. In algemene termen is het niet verboden om voorbeelden van exploits te plaatsen die zijn voorbereid tijdens veiligheidsonderzoeken en betrekking hebben op reeds verholpen kwetsbaarheden, maar het hangt allemaal af van hoe de term 'actieve aanvallen' wordt opgevat.
Bijvoorbeeld, het publiceren van enige vorm van de oorspronkelijke JavaScript-code die de browser aanvreet, valt onder dit criterium — een aanvaller wordt niet belemmerd om de broncode in de browser van het slachtoffer te laden via fetch, automatisch te patchen als het prototype van de exploit in onwerkbare vorm is gepubliceerd, en uit te voeren. Hetzelfde geldt voor elke andere code, bijvoorbeeld in C++, niets staat eraan in de weg om deze op de aangevallen machine te compileren en uit te voeren. Bij het ontdekken van een repository met dergelijke code is het plan om deze niet te verwijderen, maar de toegang te blokkeren.
- Boven in de tekst is een sectie verplaatst die 'spam', manipulatie, deelname aan de manipulatiemarkt, programma's voor het schenden van de regels van websites, phishing en pogingen daartoe verbiedt.
- Een punt is toegevoegd met een uitleg over de mogelijkheid om in beroep te gaan in het geval van een blokkering waar men het niet mee eens is.
- Een vereiste is toegevoegd voor eigenaren van repositories waarin potentieel gevaarlijke inhoud wordt geplaatst binnen het kader van beveiligingsonderzoek. Dergelijke inhoud moet duidelijk worden vermeld aan het begin van het README.md-bestand, en in het SECURITY.md-bestand moeten contactgegevens voor communicatie worden verstrekt. Er is aangegeven dat GitHub in het algemeen geen exploits verwijdert die zijn gepubliceerd samen met beveiligingsonderzoek voor al bekende kwetsbaarheden (geen 0-day), maar zich het recht voorbehoudt om de toegang te beperken als het denkt dat er een risico bestaat dat deze exploits voor echte aanvallen worden gebruikt en dat er klachten bij de ondersteuning van GitHub binnenkomen over het gebruik van de code voor aanvallen.
Bron: opennet.ru
