GitHub zverejnil zmeny pravidiel, ktoré definujú politiku týkajúcu sa zverejňovania exploitov a výsledkov výskumu škodlivého softvéru, ako aj dodržiavania platného zákona o autorských právach v digitálnom veku (DMCA) v USA. Zmeny sú zatiaľ vo fáze návrhu, ktorý je k dispozícii na diskusiu počas 30 dní.
K pravidlám dodržiavania DMCA, okrem predtým existujúceho zákazu šírenia a zabezpečovania inštalácie alebo dodávky aktívneho škodlivého softvéru a exploitov, boli pridané nasledujúce podmienky:
- Explicitný zákaz umiestňovania technológií na obídenie technických prostriedkov ochrany autorských práv do repozytárov, vrátane licenčných kľúčov, ako aj programov na generovanie kľúčov, obchádzanie overovania kľúčov a predlžovanie bezplatného obdobia.
- Zavádza sa postup podávania žiadosti o odstránenie takého kódu. Od žiadateľa o odstránenie sa vyžaduje poskytnutie technických podrobností s deklarovaným úmyslom predložiť túto žiadosť na posúdenie pred zablokovaním.
- Pri zablokovaní repozytára sa sľubuje poskytnutie možnosti exportovať issue a PR-y, a ponúknuť právne služby.
Zmeny, ktoré boli zapracované do pravidiel týkajúcich sa exploitov a škodlivého softvéru, zohľadňujú kritiku, ktorá sa objavila po odstránení prototypu exploitov pre Microsoft Exchange, ktorý sa použil na vykonávanie útokov spoločnosťou Microsoft. V nových pravidlách sa pokúsili jasne oddeliť obsah, ktorý predstavuje nebezpečenstvo a ktorý sa používa na vykonávanie aktívnych útokov, od kódu sprevádzajúceho výskum v oblasti bezpečnosti. Implementované zmeny:
- Zakazuje sa nielen útočiť na používateľov GitHubu zverejnením obsahu s exploitmi alebo používať GitHub ako prostriedok na dodávanie exploitov, ako to bolo predtým, ale aj zverejňovať škodlivý kód a exploitov súvisiacich s vykonávaním aktívnych útokov. Vo všeobecnosti nie je zakázané zverejňovanie príkladov exploitov pripravených v priebehu bezpečnostného výskumu a zasahujúcich už opravené zraniteľnosti, ale všetko bude závisieť od toho, ako sa bude interpretovať pojem „aktívne útoky“.
Napríklad, zverejnenie akýchkoľvek pôvodných textov JavaScript kódu, ktorý napáda prehliadač, spadá pod toto kritérium — útočníkovi nič nebráni nahrať pôvodný kód do prehliadača obete pomocou fetch-u, automaticky ho upraviť, ak je prototyp exploit-u zverejnený v nefunkčnej podobe, a vykonať ho. Podobne s akýmkoľvek iným kódom, napríklad v C++, — nič nebráni ho skompilovať na napadnutej mašine a vykonať. Pri zistení repozitára s podobným kódom sa plánuje neodstraňovať ho, ale uzavrieť k nemu prístup.
- Presunutý vyššie v texte oddiel, zakazujúci „spam“, manipulácie, účasť na trhu manipulácií, programy na porušovanie pravidiel akýchkoľvek webových stránok, phishing a jeho pokusy.
- Pridaný bod s vysvetlením možnosti podania odvolania v prípade nesúhlasu s blokovaním.
- Pridaná požiadavka na vlastníkov repozitárov, v ktorých sa v rámci bezpečnostných výskumov nachádzajú potenciálne nebezpečné obsahy. Prítomnosť takého obsahu by mala byť jasne uvedená na začiatku súboru README.md a v súbore SECURITY.md by mali byť poskytnuté kontaktné údaje na kontaktovanie. Uvedené, že vo všeobecnosti GitHub neodstraňuje exploit-y, zverejnené spolu s bezpečnostnými výskumami pre už zverejnené zraniteľnosti (nie 0-day), ale ponecháva si možnosť obmedziť prístup, ak usúdi, že existuje riziko použitia týchto exploit-ov na reálne útoky a do podpory GitHub prichádzajú sťažnosti o použití kódu na útoky.
Zdroj: opennet.ru
