{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub zaostrza zasady dotycz\u0105ce publikowania wynik\u00f3w bada\u0144 bezpiecze\u0144stwa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub opublikowa\u0142 zmiany w zasadach okre\u015blaj\u0105cych polityk\u0119 dotycz\u0105c\u0105 publikacji exploit\u00f3w oraz wynik\u00f3w bada\u0144 malware, a tak\u017ce przestrzegania obowi\u0105zuj\u0105cego w USA Ustawy o prawie autorskim w erze cyfrowej (DMCA). Zmiany s\u0105 na razie w stanie roboczym i dost\u0119pne do dyskusji przez 30 dni. <\/p>\n
W zasadach przestrzegania DMCA, opr\u00f3cz wcze\u015bniej obowi\u0105zuj\u0105cego zakazu rozpowszechniania oraz dostarczania aktywnego malware i exploit\u00f3w, wprowadzono nast\u0119puj\u0105ce warunki: <\/p>\n
\n
Wyra\u017any zakaz umieszczania w repozytoriach technologii omijaj\u0105cych techniczne \u015brodki ochrony praw autorskich, w tym kluczy licencyjnych, a tak\u017ce program\u00f3w do generowania kluczy, omijania weryfikacji kluczy i przed\u0142u\u017cania okresu pr\u00f3bnego.\n
Wprowadzono procedur\u0119 sk\u0142adania wniosk\u00f3w o usuni\u0119cie takiego kodu. Od wnioskodawcy wymagane jest przedstawienie szczeg\u00f3\u0142\u00f3w technicznych, z deklarowanym zamiarem przekazania tego wniosku do ekspertyzy przed zablokowaniem.\n
Podczas blokowania repozytori\u00f3w obiecano zapewni\u0107 mo\u017cliwo\u015b\u0107 eksportu issue i PR-\u00f3w, a tak\u017ce zaoferowa\u0107 us\u0142ugi prawne. <\/ul>\n
Zmiany w zasadach dotycz\u0105cych exploit\u00f3w i malware uwzgl\u0119dniaj\u0105 krytyk\u0119, kt\u00f3ra pojawi\u0142a si\u0119 po usuni\u0119ciu przez firm\u0119 Microsoft prototypu exploita dla Microsoft Exchange, wykorzystywanego do przeprowadzania atak\u00f3w. W nowych zasadach podj\u0119to pr\u00f3b\u0119 wyra\u017anego rozdzielenia tre\u015bci stwarzaj\u0105cych zagro\u017cenie i wykorzystywanych do przeprowadzania aktywnych atak\u00f3w oraz kodu towarzysz\u0105cego badaniom w zakresie bezpiecze\u0144stwa. Wprowadzone zmiany: <\/p>\n
\n
Nie tylko zakazane jest atakowanie u\u017cytkownik\u00f3w GitHub poprzez publikowanie na nim tre\u015bci z exploitami lub u\u017cywanie GitHub jako \u015brodka dostarczania exploit\u00f3w, jak to mia\u0142o miejsce wcze\u015bniej, ale tak\u017ce umieszczanie z\u0142o\u015bliwego kodu i exploit\u00f3w zwi\u0105zanych z przeprowadzaniem aktywnych atak\u00f3w. Og\u00f3lnie rzecz bior\u0105c, nie ma zakazu publikacji przyk\u0142ad\u00f3w exploit\u00f3w przygotowanych w ramach bada\u0144 bezpiecze\u0144stwa, dotycz\u0105cych ju\u017c za\u0142atanych luk, ale wszystko b\u0119dzie zale\u017ca\u0142o od tego, jak zinterpretowa\u0107 termin \u201eaktywnych atak\u00f3w\u201d.\n
Na przyk\u0142ad publikacja w jakiejkolwiek formie kodu \u017ar\u00f3d\u0142owego JavaScript, kt\u00f3ry atakuje przegl\u0105dark\u0119, podpada pod ten kryterium \u2014 przest\u0119pcy nic nie stoi na przeszkodzie, by za\u0142adowa\u0107 kod \u017ar\u00f3d\u0142owy do przegl\u0105darki ofiary przy pomocy fetch, automatycznie za\u0142ata\u0107, je\u015bli prototyp exploita jest opublikowany w niefunkcjonuj\u0105cej formie, i wykona\u0107 go. Podobnie z innym kodem, na przyk\u0142ad w C++ \u2014 nic nie przeszkadza skompilowa\u0107 go na zaatakowanej maszynie i wykona\u0107. W przypadku wykrycia repozytorium z podobnym kodem planuje si\u0119 nie usun\u0105\u0107 go, a zamkn\u0105\u0107 dost\u0119p do niego. <\/p>\n
Przeniesiony wy\u017cej w tek\u015bcie rozdzia\u0142, kt\u00f3ry zakazuje \u201espamu\u201d, sztucznego zwi\u0119kszania, udzia\u0142u w rynku sztucznego zwi\u0119kszania, program\u00f3w \u0142ami\u0105cych zasady jakichkolwiek stron, phishingu i jego pr\u00f3b.\n
Dodano punkt z wyja\u015bnieniem mo\u017cliwo\u015bci z\u0142o\u017cenia apelacji w przypadku niezgody z zablokowaniem.\n
Dodano wym\u00f3g dla w\u0142a\u015bcicieli repozytori\u00f3w, w kt\u00f3rych w ramach bada\u0144 bezpiecze\u0144stwa umieszczana jest potencjalnie niebezpieczna tre\u015b\u0107. Obecno\u015b\u0107 takiej tre\u015bci musi by\u0107 wyra\u017anie wspomniana na pocz\u0105tku pliku README.md, a w pliku SECURITY.md powinny by\u0107 podane dane kontaktowe do kontaktu. Wskazano, \u017ce og\u00f3lnie GitHub nie usuwa exploit\u00f3w opublikowanych wraz z badaniami bezpiecze\u0144stwa dla ju\u017c ujawnionych podatno\u015bci (nie 0-day), ale zastrzega sobie prawo do ograniczenia dost\u0119pu, je\u015bli uzna, \u017ce istnieje ryzyko wykorzystania tych exploit\u00f3w do rzeczywistych atak\u00f3w i w s\u0142u\u017cbie wsparcia GitHub wp\u0142yn\u0119\u0142y skargi dotycz\u0105ce u\u017cycia kodu do atak\u00f3w. <\/ul>\n