GitHub ужесточает правила, связанные с размещением результатов исследований безопасности

Ответить на тему

Автор

Сообщение

news_bot ^®

Стаж: 6 лет 9 месяцев
Сообщений: 27286

news_bot ^® написал(а)
30-Апр-2021 11:30

Цитировать

GitHub опубликовал изменения правил, определяющих политику в отношении размещения эксплоитов и результатов исследования вредоносного ПО, а также соблюдения действующего в США Закона об авторском праве в цифровую эпоху (DMCA). Изменения пока находятся в состоянии черновика, доступного для обсуждения в течение 30 дней.
В правила соблюдения DMCA, помимо ранее присутствовавшего запрета распространения и обеспечения установки или доставки активного вредоносного ПО и эксплоитов,
добавлены следующие условия:

Явный запрет помещения в репозитории технологий для обхода технических средств защиты авторских прав, включая лицензионные ключи, а также программы для генерации ключей, обхода проверки ключей и продления бесплатного периода работы.
Вводится порядок подачи заявки на удаление такого кода. От подающего заявку на удаление требуется предоставление технических деталей, с задекларированным намерением передать эту заявку на экспертизу до блокировки.
При блокировке репозитория обещают обеспечить возможность экспортировать issuе и PR-ы, и предложить юридические услуги.

Изменения, внесённые в правила, касающиеся эксплоитов и вредоносного ПО, учитывают критику, прозвучавшую после удаления компанией Microsoft прототипа эксплоита для Microsoft Exchange, используемого для совершения атак. В новых правилах предпринята попытка явного отделения содержимого, предоставляющего опасность и используемого для совершения активных атак, и кода, сопровождающего исследования в области безопасности. Внесённые изменения:

Запрещено не только атаковать пользователей GitHub путём размещения на нём контента с эксплоитами или использовать GitHub как средство доставки экспдоитов, как было раньше, но и размещать вредоносный код и эксплоиты, сопутствующие проведению активных атак. В общем виде не запрещено размещение примеров эксплоитов, подготовленных в ходе исследований безопасности и затрагивающих уже исправленные уязвимости, но всё будет зависеть от того, как трактовать термин "активные атаки".
Например, публикация в любом виде исходных текстов JavaScript-кода, атакующего браузер, подпадает под данный критерий - злоумышленнику ничего не мешает загрузить исходный код в браузер жертвы fetch-ем, автоматически пропатчить, если прототип эксплоита опубликован в неработоспособном виде, и выполнить. Аналогично с любым другим кодом, например на C++, - ничто не мешает скомпилировать его на атакуемой машине, и выполнить. При обнаружении репозитория с подобным кодом его планируется не удалять, а закрывать к нему доступ.
Перенесён выше по тексту раздел, запрещающий "спам", накрутки, участие в рынке накруток, программы для нарушения правил каких-либо сайтов, фишинг и его попытки.
Добавлен пункт с пояснением возможности подачи апелляции в случае несогласия с блокировкой.
Добавлено требование к владельцам репозиториев, в которых в рамках исследований безопасности размещается потенциально опасное содержимое. Наличие подобного содержимого должно быть явно упомянуто вначале файла README.md, а в файле SECURITY.md должны быть предоставлены контактные данные для связи. Указано, что в общем виде GitHub не удаляет эксплоиты, опубликованные вместе с исследованиями безопасности для уже раскрытых уязвимостей (не 0-day), но оставляет за собой возможность ограничить доступ, если посчитает, что сохраняется риск применения данных эксплоитов для реальных атак и в службу поддержки GitHub поступают жалобы об использовании кода для атак.

===========
Источник:
OpenNet.RU
===========

GitHub ужесточает правила, связанные с размещением результатов исследований безопасности

Похожие новости