{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"O GitHub est\u00e1 endurecendo as regras relacionadas \u00e0 publica\u00e7\u00e3o de resultados de pesquisas de seguran\u00e7a.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
O GitHub publicou mudan\u00e7as nas regras que definem a pol\u00edtica em rela\u00e7\u00e3o ao armazenamento de exploits e resultados de pesquisas de malware, bem como \u00e0 conformidade com a Lei de Direitos Autorais no Mil\u00eanio Digital (DMCA) em vigor nos EUA. As mudan\u00e7as ainda est\u00e3o em rascunho, dispon\u00edveis para discuss\u00e3o durante 30 dias. <\/p>\n
Nas regras de conformidade com o DMCA, al\u00e9m da proibi\u00e7\u00e3o anterior de disseminar e garantir a instala\u00e7\u00e3o ou entrega de malware ativo e exploits, foram adicionadas as seguintes condi\u00e7\u00f5es: <\/p>\n
\n
\u00c9 expressamente proibido incluir no reposit\u00f3rio tecnologias que contornem dispositivos t\u00e9cnicos de prote\u00e7\u00e3o de direitos autorais, incluindo chaves de licen\u00e7a, bem como programas para gera\u00e7\u00e3o de chaves, contorno de verifica\u00e7\u00e3o de chaves e prolongamento de per\u00edodos de uso gratuito.\n
Estabelece-se um procedimento para a apresenta\u00e7\u00e3o de pedidos de remo\u00e7\u00e3o desse c\u00f3digo. O solicitante da remo\u00e7\u00e3o deve fornecer detalhes t\u00e9cnicos, com a inten\u00e7\u00e3o declarada de encaminhar o pedido para an\u00e1lise antes da bloquea\u00e7\u00e3o.\n
Em caso de bloqueio do reposit\u00f3rio, promete-se garantir a possibilidade de exportar issues e PRs, e oferecer servi\u00e7os jur\u00eddicos. <\/ul>\n
As mudan\u00e7as nas regras sobre exploits e malware consideram as cr\u00edticas recebidas ap\u00f3s a remo\u00e7\u00e3o pela Microsoft de um prot\u00f3tipo de exploit para o Microsoft Exchange usado para realizar ataques. Nas novas regras, h\u00e1 uma tentativa de separar explicitamente o conte\u00fado que representa perigo e \u00e9 usado para realizar ataques ativos, do c\u00f3digo que acompanha pesquisas em seguran\u00e7a. As mudan\u00e7as incluem: <\/p>\n
\n
N\u00e3o \u00e9 permitido apenas atacar usu\u00e1rios do GitHub por meio da postagem de conte\u00fado com exploits ou usar o GitHub como um meio de entrega de exploits, como aconteceu antes, mas tamb\u00e9m publicar c\u00f3digo malicioso e exploits que acompanham a realiza\u00e7\u00e3o de ataques ativos. De maneira geral, n\u00e3o \u00e9 proibido publicar exemplos de exploits preparados durante pesquisas de seguran\u00e7a que envolvem vulnerabilidades j\u00e1 corrigidas, mas tudo depender\u00e1 de como se interpreta o termo 'ataques ativos'.\n
Por exemplo, a publica\u00e7\u00e3o em qualquer forma de c\u00f3digos-fonte JavaScript atacando o navegador se enquadra nesse crit\u00e9rio \u2014 nada impede o invasor de carregar o c\u00f3digo-fonte no navegador da v\u00edtima usando fetch, corrigir automaticamente, se o prot\u00f3tipo do exploit for publicado em um formato n\u00e3o funcional, e execut\u00e1-lo. O mesmo se aplica a qualquer outro c\u00f3digo, como o C++ \u2014 nada impede a compila\u00e7\u00e3o na m\u00e1quina atacada e a execu\u00e7\u00e3o. Ao detectar um reposit\u00f3rio com esse tipo de c\u00f3digo, planeja-se n\u00e3o remov\u00ea-lo, mas sim bloquear o acesso. <\/p>\n
O trecho acima, que pro\u00edbe 'spam', manipula\u00e7\u00e3o, participa\u00e7\u00e3o no mercado de manipula\u00e7\u00f5es, programas para violar as regras de quaisquer sites, phishing e suas tentativas, foi transferido.\n
Foi adicionada uma cl\u00e1usula explicando a possibilidade de apela\u00e7\u00e3o em caso de desacordo com o bloqueio.\n
Adicionado um requisito para os propriet\u00e1rios de reposit\u00f3rios que, no \u00e2mbito de pesquisas de seguran\u00e7a, hospedam conte\u00fado potencialmente perigoso. A presen\u00e7a desse tipo de conte\u00fado deve ser claramente mencionada no in\u00edcio do arquivo README.md, e no arquivo SECURITY.md devem ser fornecidos dados de contato para comunica\u00e7\u00e3o. Foi especificado que, de forma geral, o GitHub n\u00e3o remove exploits publicados junto com pesquisas de seguran\u00e7a para vulnerabilidades j\u00e1 divulgadas (n\u00e3o 0-day), mas se reserva o direito de restringir o acesso se considerar que ainda existe risco de utiliza\u00e7\u00e3o desses exploits para ataques reais e se houver reclama\u00e7\u00f5es de uso do c\u00f3digo para ataques junto ao suporte do GitHub. <\/ul>\n