{"id":100063,"date":"2021-04-30T10:22:37","date_gmt":"2021-04-30T08:22:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti"},"modified":"2021-04-30T10:22:37","modified_gmt":"2021-04-30T08:22:37","slug":"github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/github-uzhestochaet-pravila-svyazannye-s-razmeshheniem-rezultatov-issledovanij-bezopasnosti","title":{"rendered":"GitHub sk\u00e4rper reglerna f\u00f6r publicering av resultat fr\u00e5n s\u00e4kerhetsunders\u00f6kningar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub har publicerat \u00e4ndringar av reglerna som definierar policyn f\u00f6r publicering av exploater och resultat fr\u00e5n forskning om skadlig programvara, samt efterlevnad av den amerikanska lagen om upphovsr\u00e4tt i den digitala tids\u00e5ldern (DMCA). \u00c4ndringarna \u00e4r f\u00f6r n\u00e4rvarande i utkastl\u00e4ge, tillg\u00e4ngliga f\u00f6r diskussion under 30 dagar. <\/p>\n
I DMCA-efterlevnadsreglerna, f\u00f6rutom det tidigare f\u00f6rbudet mot spridning och m\u00f6jligg\u00f6rande av installation eller distribution av aktiv skadlig programvara och exploater, har f\u00f6ljande villkor lagts till: <\/p>\n
\n
Ett tydligt f\u00f6rbud mot att placera teknologier f\u00f6r att kringg\u00e5 tekniska skyddsmekanismer f\u00f6r upphovsr\u00e4tt i repository, inklusive licensnycklar, samt program f\u00f6r att generera nycklar, kringg\u00e5 nyckelkontroller och f\u00f6rl\u00e4nga gratisanv\u00e4ndningsperioder.\n
En procedur f\u00f6r att ans\u00f6ka om borttagning av s\u00e5dan kod inf\u00f6rs. Den som ans\u00f6ker om borttagning kr\u00e4vs att l\u00e4mna tekniska detaljer, med ett deklarerat syfte att \u00f6verf\u00f6ra denna ans\u00f6kan f\u00f6r granskning innan blockering.\n
Vid blockering av repository lovar man att m\u00f6jligg\u00f6ra export av issues och PR:er, och erbjuda juridiska tj\u00e4nster. <\/ul>\n
\u00c4ndringarna i reglerna kring exploater och skadlig programvara beaktar kritiken som framf\u00f6rdes efter att Microsofts prototyp av en exploater f\u00f6r Microsoft Exchange, som anv\u00e4ndes f\u00f6r att genomf\u00f6ra attacker, togs bort. I de nya reglerna g\u00f6rs ett f\u00f6rs\u00f6k att tydligt separera inneh\u00e5ll som utg\u00f6r en fara och anv\u00e4nds f\u00f6r aktiva attacker, och kod som \u00e5tf\u00f6ljer s\u00e4kerhetsforskning. De inf\u00f6rda \u00e4ndringarna: <\/p>\n
\n
Det \u00e4r f\u00f6rbjudet att inte bara attackera anv\u00e4ndare av GitHub genom att l\u00e4gga upp inneh\u00e5ll med exploits eller anv\u00e4nda GitHub som ett verktyg f\u00f6r att distribuera exploits, som tidigare, utan \u00e4ven att publicera skadlig kod och exploits som \u00e4r f\u00f6rknippade med aktiva attacker. I allm\u00e4nhet \u00e4r det inte f\u00f6rbjudet att l\u00e4gga upp exempel p\u00e5 exploits som har tagits fram under s\u00e4kerhetsforskning och som ber\u00f6r redan \u00e5tg\u00e4rdade s\u00e5rbarheter, men allt beror p\u00e5 hur termen 'aktiva attacker' tolkas.\n
Till exempel faller publicering av k\u00e4llkoden f\u00f6r JavaScript som attackerar webbl\u00e4saren under detta kriterium \u2014 inget hindrar angriparen fr\u00e5n att ladda upp k\u00e4llkoden i offrens webbl\u00e4sare med fetch, automatiskt patcha den om prototypen av exploiten publicerades i en oanv\u00e4ndbar form, och k\u00f6ra den. P\u00e5 samma s\u00e4tt med vilken annan kod som helst, till exempel C++ \u2014 inget hindrar att kompilera den p\u00e5 den attackerade maskinen och k\u00f6ra den. Vid uppt\u00e4ckten av ett arkiv med s\u00e5dan kod planeras det att inte radera det, utan att st\u00e4nga \u00e5tkomsten till det. <\/p>\n
Den del av texten som f\u00f6rbjuder 'spam', manipulering, deltagande i manipulationsmarknaden, program f\u00f6r att bryta mot reglerna f\u00f6r olika webbplatser, phishing och dess f\u00f6rs\u00f6k har flyttats h\u00f6gre upp i texten.\n
En punkt har lagts till som f\u00f6rklarar m\u00f6jligheten att \u00f6verklaga om man inte h\u00e5ller med om blockeringen.\n
Krav har lagts till f\u00f6r \u00e4gare av f\u00f6rr\u00e5d d\u00e4r potentiellt farligt inneh\u00e5ll publiceras inom ramen f\u00f6r s\u00e4kerhetsforskning. F\u00f6rekomsten av s\u00e5dant inneh\u00e5ll ska tydligt n\u00e4mnas i b\u00f6rjan av README.md-filen, och i SECURITY.md-filen ska kontaktinformation f\u00f6r kommunikation tillhandah\u00e5llas. Det har angivits att GitHub i allm\u00e4nhet inte tar bort utnyttjanden som publicerats tillsammans med s\u00e4kerhetsforskning f\u00f6r redan avsl\u00f6jade s\u00e5rbarheter (inte 0-dag), men f\u00f6rbeh\u00e5ller sig r\u00e4tten att begr\u00e4nsa tillg\u00e5ng om de anser att det finns en risk f\u00f6r att dessa utnyttjanden kan anv\u00e4ndas f\u00f6r riktiga attacker och om supporttj\u00e4nsten f\u00f6r GitHub f\u00e5r klagom\u00e5l om anv\u00e4ndning av koden f\u00f6r attacker. <\/ul>\n