{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub intensific\u0103 regulile privind publicarea rezultatelor cercet\u0103rilor de securitate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub a publicat modific\u0103ri ale regulilor care definesc politica privind publicarea exploiturilor \u0219i rezultatelor cercet\u0103rii malware-ului, precum \u0219i conformitatea cu Legea american\u0103 privind drepturile de autor \u00een epoca digital\u0103 (DMCA). Modific\u0103rile sunt \u00eenc\u0103 \u00een stadiul de draft, disponibile pentru discu\u021bii timp de 30 de zile. <\/p>\n
\u00cen regulile de conformitate cu DMCA, pe l\u00e2ng\u0103 interdic\u021bia anterioar\u0103 de distribuire \u0219i asigurare a instal\u0103rii sau livr\u0103rii unor software-uri malware active \u0219i exploaturi, au fost ad\u0103ugate urm\u0103toarele condi\u021bii: <\/p>\n
\n
Interdic\u021bie explicit\u0103 a includerii \u00een repozitorii a tehnologiilor pentru ocolirea m\u0103surilor tehnice de protec\u021bie a drepturilor de autor, inclusiv chei de licen\u021b\u0103, precum \u0219i programe pentru generarea de chei, ocolirea verific\u0103rii cheilor \u0219i prelungirea perioadei de utilizare gratuit\u0103.\n
Se introduce o procedur\u0103 pentru depunerea unei cereri de eliminare a unui astfel de cod. De la solicitantul cererii de eliminare se cere s\u0103 ofere detalii tehnice, cu inten\u021bia declarat\u0103 de a transmite aceast\u0103 cerere pentru expertiz\u0103 \u00eenainte de blocare.\n
\u00cen cazul bloc\u0103rii repozitorului, se promite asigurarea posibilit\u0103\u021bii de a exporta issue-uri \u0219i PR-uri, precum \u0219i oferirea de servicii juridice. <\/ul>\n
Modific\u0103rile aduse regulilor referitoare la exploaturi \u0219i malware iau \u00een considerare criticile ap\u0103rute \u00een urma elimin\u0103rii de c\u0103tre Microsoft a prototipului de exploat care viza Microsoft Exchange, utilizat pentru a efectua atacuri. Noile reguli \u00eencearc\u0103 s\u0103 separe explicit con\u021binutul care prezint\u0103 un pericol \u0219i utilizat pentru atacuri active de codul care \u00eenso\u021be\u0219te cercet\u0103rile \u00een domeniul securit\u0103\u021bii. Modific\u0103rile efectuate: <\/p>\n
\n
Nu este permis nu doar s\u0103 ataci utilizatorii GitHub prin publicarea de con\u021binut cu exploituri sau s\u0103 folose\u0219ti GitHub ca un mijloc de livrare a exploiturilor, ca \u00een trecut, ci \u0219i s\u0103 publici cod mali\u021bios \u0219i exploituri \u00een contextul atacurilor active. \u00cen general, nu este interzis\u0103 publicarea de exemple de exploituri preg\u0103tite \u00een cadrul cercet\u0103rilor de securitate \u0219i care vizeaz\u0103 vulnerabilit\u0103\u021bi deja corectate, dar totul va depinde de interpretarea termenului \u201eatacuri active\u201d.\n
De exemplu, publicarea \u00een orice form\u0103 a codului surs\u0103 JavaScript care atac\u0103 browserul se \u00eencadreaz\u0103 sub acest criteriu \u2014 atacatorului nu-i st\u0103 \u00een cale nimic pentru a \u00eenc\u0103rca codul surs\u0103 \u00een browserul victimei prin fetch, a-l patch-ui automat dac\u0103 prototipul exploitului este publicat \u00eentr-o form\u0103 nefunc\u021bional\u0103 \u0219i a-l executa. Acelea\u0219i considerente se aplic\u0103 oric\u0103rui alt cod, de exemplu \u00een C++ \u2014 nimic nu-l \u00eempiedic\u0103 s\u0103 fie compilat pe ma\u0219ina atacat\u0103 \u0219i executat. La descoperirea unui repository cu un astfel de cod, se preconizeaz\u0103 s\u0103 nu fie \u0219ters, ci s\u0103 fie restric\u021bionat accesul la acesta. <\/p>\n
Sec\u021biunea mutat\u0103 mai sus \u00een text care interzice \u201espam\u201d-ul, manipul\u0103rile, participarea pe pia\u021ba manipul\u0103rilor, programele care \u00eencalc\u0103 regulile anumitor site-uri, phishing-ul \u0219i \u00eencerc\u0103rile acestuia.\n
A fost ad\u0103ugat un punct care explic\u0103 posibilitatea de a face apel \u00een caz de dezacord cu blocarea.\n
A fost ad\u0103ugat un requeriment pentru proprietarii de repository-uri \u00een care, \u00een cadrul cercet\u0103rilor de securitate, este plasat con\u021binut poten\u021bial periculos. Prezen\u021ba unui astfel de con\u021binut trebuie men\u021bionat\u0103 clar la \u00eenceputul fi\u0219ierului README.md, iar \u00een fi\u0219ierul SECURITY.md trebuie s\u0103 fie furnizate date de contact pentru comunicare. S-a specificat c\u0103, \u00een general, GitHub nu \u0219terge exploit-uri publicate \u00eempreun\u0103 cu cercet\u0103rile de securitate pentru vulnerabilit\u0103\u021bi deja dezv\u0103luite (nu 0-day), dar \u00ee\u0219i rezerv\u0103 dreptul de a limita accesul, dac\u0103 consider\u0103 c\u0103 exist\u0103 un risc de aplicare a acestor exploit-uri \u00een atacuri reale \u0219i c\u0103 se primesc pl\u00e2ngeri \u00een leg\u0103tur\u0103 cu utilizarea codului \u00een atacuri. <\/ul>\n