{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub verstrengd de regels met betrekking tot het hosten van beveiligingsonderzoeksresultaten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub heeft wijzigingen gepubliceerd in de regels die het beleid voor het plaatsen van exploits en resultaten van malware-onderzoek, evenals de naleving van de in de VS geldende Digital Millennium Copyright Act (DMCA), bepalen. De wijzigingen bevinden zich momenteel in een conceptfase en zijn 30 dagen open voor discussie. <\/p>\n
Naast het eerder aanwezige verbod op de verspreiding en het faciliteren van de installatie of levering van actieve malware en exploits, zijn er de volgende voorwaarden toegevoegd aan de DMCA-nalevingsregels: <\/p>\n
\n
Er is een expliciet verbod ingesteld op het plaatsen van technologie\u00ebn in repositories die zijn ontworpen om technische beschermingsmiddelen voor auteursrechten te omzeilen, inclusief licentiesleutels, alsook programma's voor het genereren van sleutels, het omzeilen van sleutels en het verlengen van gratis gebruiksperiodes.\n
Er wordt een procedure ingevoerd voor het indienen van een verwijderverzoek voor dergelijke code. Van de indiener van het verwijderverzoek wordt vereist dat hij technische details verstrekt, met de verklaarde intentie om dit verzoek ter beoordeling voor blokkering in te dienen.\n
Bij blokkering van een repository beloven ze de mogelijkheid te bieden om issue's en PR's te exporteren, en juridische diensten aan te bieden. <\/ul>\n
De wijzigingen in de regels met betrekking tot exploits en malware houden rekening met de kritiek die is geuit na het verwijderen door Microsoft van een exploit-prototype voor Microsoft Exchange dat werd gebruikt om aanvallen uit te voeren. In de nieuwe regels is er een poging gedaan om duidelijk te scheiden tussen inhoud die gevaar vormt en wordt gebruikt voor het uitvoeren van actieve aanvallen, en code die veiligheidsresearch vergezelt. De aangebrachte wijzigingen: <\/p>\n
\n
Het is niet alleen verboden om gebruikers van GitHub aan te vallen door exploit-code te plaatsen of GitHub te gebruiken als een middel voor het afleveren van exploits, zoals eerder is gebeurd, maar ook om kwaadaardige code en exploits te plaatsen die gerelateerd zijn aan actieve aanvallen. In algemene zin is het plaatsen van voorbeelden van exploits, voorbereid tijdens beveiligingsonderzoeken en gerelateerd aan reeds verholpen kwetsbaarheden, niet verboden, maar het hangt allemaal af van hoe de term 'actieve aanvallen' wordt ge\u00efnterpreteerd.\n
Bijvoorbeeld, het publiceren van JavaScript-broncode die een browser aanvalt in om het even welke vorm valt onder dit criterium - de aanvaller kan de broncode eenvoudig in de browser van het slachtoffer laden via fetch, automatisch patchen als de prototype-exploit in een niet-functionerende staat is gepubliceerd, en deze uitvoeren. Hetzelfde geldt voor elke andere code, bijvoorbeeld geschreven in C++ - er staat niets in de weg om het op de aangevallen machine te compileren en uit te voeren. Bij het ontdekken van een repository met dergelijke code, is het plan om deze niet te verwijderen, maar de toegang ertoe te sluiten. <\/p>\n
Boven in de tekst is het gedeelte verplaatst dat het verbieden van 'spam', nepproducten, deelname aan de nepproductenmarkt, programma's voor het schenden van de regels van websites, phishing en de pogingen daartoe behandelt.\n
Een punt is toegevoegd met een uitleg over de mogelijkheid om in beroep te gaan in het geval van een blokkering waar men het niet mee eens is.\n
Een vereiste is toegevoegd voor eigenaren van repositories waarin potentieel gevaarlijke inhoud wordt geplaatst binnen het kader van beveiligingsonderzoek. Dergelijke inhoud moet duidelijk worden vermeld aan het begin van het README.md-bestand, en in het SECURITY.md-bestand moeten contactgegevens voor communicatie worden verstrekt. Er is aangegeven dat GitHub in het algemeen geen exploits verwijdert die zijn gepubliceerd samen met beveiligingsonderzoek voor al bekende kwetsbaarheden (geen 0-day), maar zich het recht voorbehoudt om de toegang te beperken als het denkt dat er een risico bestaat dat deze exploits voor echte aanvallen worden gebruikt en dat er klachten bij de ondersteuning van GitHub binnenkomen over het gebruik van de code voor aanvallen. <\/ul>\n