GitHub skärper reglerna för publicering av resultat från säkerhetsundersökningar

GitHub har publicerat ändringar av reglerna som definierar policyn för publicering av exploater och resultat från forskning om skadlig programvara, samt efterlevnad av den amerikanska lagen om upphovsrätt i den digitala tidsåldern (DMCA). Ändringarna är för närvarande i utkastläge, tillgängliga för diskussion under 30 dagar.

I DMCA-efterlevnadsreglerna, förutom det tidigare förbudet mot spridning och möjliggörande av installation eller distribution av aktiv skadlig programvara och exploater, har följande villkor lagts till:

• Ett tydligt förbud mot att placera teknologier för att kringgå tekniska skyddsmekanismer för upphovsrätt i repository, inklusive licensnycklar, samt program för att generera nycklar, kringgå nyckelkontroller och förlänga gratisanvändningsperioder.
• En procedur för att ansöka om borttagning av sådan kod införs. Den som ansöker om borttagning krävs att lämna tekniska detaljer, med ett deklarerat syfte att överföra denna ansökan för granskning innan blockering.
• Vid blockering av repository lovar man att möjliggöra export av issues och PR:er, och erbjuda juridiska tjänster.

Ändringarna i reglerna kring exploater och skadlig programvara beaktar kritiken som framfördes efter att Microsofts prototyp av en exploater för Microsoft Exchange, som användes för att genomföra attacker, togs bort. I de nya reglerna görs ett försök att tydligt separera innehåll som utgör en fara och används för aktiva attacker, och kod som åtföljer säkerhetsforskning. De införda ändringarna:

• Det är nu förbjudet att inte bara attackera GitHub-användare genom att publicera innehåll med exploater eller använda GitHub som ett medel för distribution av exploater, som tidigare, utan även att publicera skadlig kod och exploater som är kopplade till genomförande av aktiva attacker. I allmänhet är det inte förbjudet att publicera exempel på exploater som förberetts under säkerhetsforskning och som rör redan åtgärdade sårbarheter, men allt beror på hur termen "aktiva attacker" tolkas.

  Till exempel faller publicering av någon form av källkod i JavaScript som attackerar webbläsare under detta kriterium — angriparen har inget som hindrar honom från att ladda upp källkoden i offrets webbläsare genom att använda fetch, automatiskt patcha den om prototypen av utnyttjandet publicerats i en icke-fungerande form, och köra det. Detsamma gäller för vilken annan kod som helst, till exempel i C++, — inget hindrar att kompilera den på den attackerade maskinen och köra den. Vid upptäckten av ett förråd med sådan kod planeras det att inte ta bort det, utan att stänga tillgången.

• Avsnittet, som förbjuder "spam", manipuleringsaktiviteter, deltagande i manipuleringsmarknader, program för att bryta mot reglerna för olika webbplatser, phishing och dess försök, har flyttats upp i texten.
• En punkt har lagts till som förklarar möjligheten att överklaga om man inte håller med om blockeringen.
• Krav har lagts till för ägare av förråd där potentiellt farligt innehåll publiceras inom ramen för säkerhetsforskning. Förekomsten av sådant innehåll ska tydligt nämnas i början av README.md-filen, och i SECURITY.md-filen ska kontaktinformation för kommunikation tillhandahållas. Det har angivits att GitHub i allmänhet inte tar bort utnyttjanden som publicerats tillsammans med säkerhetsforskning för redan avslöjade sårbarheter (inte 0-dag), men förbehåller sig rätten att begränsa tillgång om de anser att det finns en risk för att dessa utnyttjanden kan användas för riktiga attacker och om supporttjänsten för GitHub får klagomål om användning av koden för attacker.

Källa: opennet.ru