O GitHub publicou mudanças nas regras que definem a política em relação ao armazenamento de exploits e resultados de pesquisas de malware, bem como à conformidade com a Lei de Direitos Autorais no Milênio Digital (DMCA) em vigor nos EUA. As mudanças ainda estão em rascunho, disponíveis para discussão durante 30 dias.
Nas regras de conformidade com o DMCA, além da proibição anterior de disseminar e garantir a instalação ou entrega de malware ativo e exploits, foram adicionadas as seguintes condições:
- É expressamente proibido incluir no repositório tecnologias que contornem dispositivos técnicos de proteção de direitos autorais, incluindo chaves de licença, bem como programas para geração de chaves, contorno de verificação de chaves e prolongamento de períodos de uso gratuito.
- Estabelece-se um procedimento para a apresentação de pedidos de remoção desse código. O solicitante da remoção deve fornecer detalhes técnicos, com a intenção declarada de encaminhar o pedido para análise antes da bloqueação.
- Em caso de bloqueio do repositório, promete-se garantir a possibilidade de exportar issues e PRs, e oferecer serviços jurídicos.
As mudanças nas regras sobre exploits e malware consideram as críticas recebidas após a remoção pela Microsoft de um protótipo de exploit para o Microsoft Exchange usado para realizar ataques. Nas novas regras, há uma tentativa de separar explicitamente o conteúdo que representa perigo e é usado para realizar ataques ativos, do código que acompanha pesquisas em segurança. As mudanças incluem:
- Não é apenas proibido atacar usuários do GitHub por meio do armazenamento de conteúdo com exploits ou usar o GitHub como meio de entrega de exploits, como era anteriormente, mas também é proibido armazenar código malicioso e exploits associados a ataques ativos. De maneira geral, não é proibido o armazenamento de exemplos de exploits que foram desenvolvidos durante pesquisas de segurança e que abordam vulnerabilidades já corrigidas, mas tudo dependerá de como o termo "ataques ativos" será interpretado.
Por exemplo, a publicação em qualquer forma de código-fonte JavaScript que ataque o navegador se enquadra neste critério — nada impede que um criminoso carregue o código-fonte no navegador da vítima utilizando fetch, faça o patch automaticamente, caso o protótipo do exploit seja publicado em uma forma não funcional e o execute. O mesmo se aplica a qualquer outro código, como C++, — nada impede que ele seja compilado na máquina atacada e executado. Quando um repositório com esse tipo de código for descoberto, ele não será removido, mas sim terá o acesso bloqueado.
- A seção acima no texto, que proíbe "spam", manipulações, participação no mercado de manipulações, programas para violação das regras de sites, phishing e suas tentativas.
- Foi adicionada uma cláusula explicando a possibilidade de apelação em caso de desacordo com o bloqueio.
- Adicionado um requisito para os proprietários de repositórios que, no âmbito de pesquisas de segurança, hospedam conteúdo potencialmente perigoso. A presença desse tipo de conteúdo deve ser claramente mencionada no início do arquivo README.md, e no arquivo SECURITY.md devem ser fornecidos dados de contato para comunicação. Foi especificado que, de forma geral, o GitHub não remove exploits publicados junto com pesquisas de segurança para vulnerabilidades já divulgadas (não 0-day), mas se reserva o direito de restringir o acesso se considerar que ainda existe risco de utilização desses exploits para ataques reais e se houver reclamações de uso do código para ataques junto ao suporte do GitHub.
Fonte: opennet.ru
