{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub spr\u00eds\u0148uje pravidl\u00e1 t\u00fdkaj\u00face sa zverej\u0148ovania v\u00fdsledkov bezpe\u010dnostn\u00e9ho v\u00fdskumu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub zverejnil zmeny pravidiel, ktor\u00e9 definuj\u00fa politiku t\u00fdkaj\u00facu sa zverej\u0148ovania exploitov a v\u00fdsledkov v\u00fdskumu \u0161kodliv\u00e9ho softv\u00e9ru, ako aj dodr\u017eiavania platn\u00e9ho z\u00e1kona o autorsk\u00fdch pr\u00e1vach v digit\u00e1lnom veku (DMCA) v USA. Zmeny s\u00fa zatia\u013e vo f\u00e1ze n\u00e1vrhu, ktor\u00fd je k dispoz\u00edcii na diskusiu po\u010das 30 dn\u00ed. <\/p>\n
K pravidl\u00e1m dodr\u017eiavania DMCA, okrem predt\u00fdm existuj\u00faceho z\u00e1kazu \u0161\u00edrenia a zabezpe\u010dovania in\u0161tal\u00e1cie alebo dod\u00e1vky akt\u00edvneho \u0161kodliv\u00e9ho softv\u00e9ru a exploitov, boli pridan\u00e9 nasleduj\u00face podmienky: <\/p>\n
\n
Explicitn\u00fd z\u00e1kaz umiest\u0148ovania technol\u00f3gi\u00ed na ob\u00eddenie technick\u00fdch prostriedkov ochrany autorsk\u00fdch pr\u00e1v do repozyt\u00e1rov, vr\u00e1tane licen\u010dn\u00fdch k\u013e\u00fa\u010dov, ako aj programov na generovanie k\u013e\u00fa\u010dov, obch\u00e1dzanie overovania k\u013e\u00fa\u010dov a predl\u017eovanie bezplatn\u00e9ho obdobia.\n
Zav\u00e1dza sa postup pod\u00e1vania \u017eiadosti o odstr\u00e1nenie tak\u00e9ho k\u00f3du. Od \u017eiadate\u013ea o odstr\u00e1nenie sa vy\u017eaduje poskytnutie technick\u00fdch podrobnost\u00ed s deklarovan\u00fdm \u00famyslom predlo\u017ei\u0165 t\u00fato \u017eiados\u0165 na pos\u00fadenie pred zablokovan\u00edm.\n
Pri zablokovan\u00ed repozyt\u00e1ra sa s\u013eubuje poskytnutie mo\u017enosti exportova\u0165 issue a PR-y, a pon\u00faknu\u0165 pr\u00e1vne slu\u017eby. <\/ul>\n
Zmeny, ktor\u00e9 boli zapracovan\u00e9 do pravidiel t\u00fdkaj\u00facich sa exploitov a \u0161kodliv\u00e9ho softv\u00e9ru, zoh\u013ead\u0148uj\u00fa kritiku, ktor\u00e1 sa objavila po odstr\u00e1nen\u00ed prototypu exploitov pre Microsoft Exchange, ktor\u00fd sa pou\u017eil na vykon\u00e1vanie \u00fatokov spolo\u010dnos\u0165ou Microsoft. V nov\u00fdch pravidl\u00e1ch sa pok\u00fasili jasne oddeli\u0165 obsah, ktor\u00fd predstavuje nebezpe\u010denstvo a ktor\u00fd sa pou\u017e\u00edva na vykon\u00e1vanie akt\u00edvnych \u00fatokov, od k\u00f3du sprev\u00e1dzaj\u00faceho v\u00fdskum v oblasti bezpe\u010dnosti. Implementovan\u00e9 zmeny: <\/p>\n
\n
Nie je zak\u00e1zan\u00e9 len \u00fato\u010di\u0165 na pou\u017e\u00edvate\u013eov GitHubu prostredn\u00edctvom zverejnenia obsahu s exploitmi alebo pou\u017e\u00edva\u0165 GitHub ako prostriedok na dod\u00e1vanie exploitov, ako sa to robilo v minulosti, ale aj zverej\u0148ova\u0165 \u0161kodliv\u00fd k\u00f3d a exploits s\u00favisiace s realizovan\u00edm akt\u00edvnych \u00fatokov. Vo v\u0161eobecnosti nie je zak\u00e1zan\u00e9 zverej\u0148ovanie pr\u00edkladov exploitov, ktor\u00e9 boli pripraven\u00e9 v priebehu bezpe\u010dnostn\u00e9ho v\u00fdskumu a ktor\u00e9 sa t\u00fdkaj\u00fa u\u017e opraven\u00fdch zranite\u013enost\u00ed, ale v\u0161etko z\u00e1vis\u00ed od toho, ako sa vyklad\u00e1 pojem \u201eakt\u00edvne \u00fatoky\u201c.\n
Napr\u00edklad publik\u00e1cia zdrojov\u00fdch k\u00f3dov JavaScriptu, ktor\u00fd \u00fato\u010d\u00ed na prehliada\u010d, spad\u00e1 pod tento krit\u00e9rium \u2014 \u00fato\u010dn\u00edkovi ni\u010d nebr\u00e1ni na\u010d\u00edta\u0165 zdrojov\u00fd k\u00f3d do prehliada\u010da obete pomocou fetch, automaticky ho opravi\u0165, ak bol prototyp exploit zverejnen\u00fd v nefunk\u010dnej podobe, a vykona\u0165 ho. Podobne s ak\u00fdmko\u013evek in\u00fdm k\u00f3dom, napr\u00edklad v C++, \u2014 ni\u010d nebr\u00e1ni skompilova\u0165 ho na napadnutej ma\u0161ine a vykona\u0165. Po zisten\u00ed repozit\u00e1ra s tak\u00fdmto k\u00f3dom sa pl\u00e1nuje ho nezmaza\u0165, ale uzavrie\u0165 k nemu pr\u00edstup. <\/p>\n
Oddiel presunut\u00fd vy\u0161\u0161ie v texte, zakazuj\u00faci \u201espam\u201c, manipul\u00e1cie, \u00fa\u010das\u0165 na trhu manipul\u00e1ci\u00ed, programy poru\u0161uj\u00face pravidl\u00e1 ak\u00fdchko\u013evek str\u00e1nok, phishing a jeho pokusy.\n
Pridan\u00fd bod s vysvetlen\u00edm mo\u017enosti podania odvolania v pr\u00edpade nes\u00fahlasu s blokovan\u00edm.\n
Pridan\u00e1 po\u017eiadavka na vlastn\u00edkov repozit\u00e1rov, v ktor\u00fdch sa v r\u00e1mci bezpe\u010dnostn\u00fdch v\u00fdskumov nach\u00e1dzaj\u00fa potenci\u00e1lne nebezpe\u010dn\u00e9 obsahy. Pr\u00edtomnos\u0165 tak\u00e9ho obsahu by mala by\u0165 jasne uveden\u00e1 na za\u010diatku s\u00faboru README.md a v s\u00fabore SECURITY.md by mali by\u0165 poskytnut\u00e9 kontaktn\u00e9 \u00fadaje na kontaktovanie. Uveden\u00e9, \u017ee vo v\u0161eobecnosti GitHub neodstra\u0148uje exploit-y, zverejnen\u00e9 spolu s bezpe\u010dnostn\u00fdmi v\u00fdskumami pre u\u017e zverejnen\u00e9 zranite\u013enosti (nie 0-day), ale ponech\u00e1va si mo\u017enos\u0165 obmedzi\u0165 pr\u00edstup, ak us\u00fadi, \u017ee existuje riziko pou\u017eitia t\u00fdchto exploit-ov na re\u00e1lne \u00fatoky a do podpory GitHub prich\u00e1dzaj\u00fa s\u0165a\u017enosti o pou\u017eit\u00ed k\u00f3du na \u00fatoky. <\/ul>\n