GitHub опубликовал изменения правил, определяющих политику в отношении размещения эксплоитов и результатов исследования вредоносного ПО, а также соблюдения действующего в США Закона об авторском праве в цифровую эпоху (DMCA). Изменения пока находятся в состоянии черновика, доступного для обсуждения в течение 30 дней.
В правила соблюдения DMCA, помимо ранее присутствовавшего запрета распространения и обеспечения установки или доставки активного вредоносного ПО и эксплоитов, добавлены следующие условия:
- Явный запрет помещения в репозитории технологий для обхода технических средств защиты авторских прав, включая лицензионные ключи, а также программы для генерации ключей, обхода проверки ключей и продления бесплатного периода работы.
- Вводится порядок подачи заявки на удаление такого кода. От подающего заявку на удаление требуется предоставление технических деталей, с задекларированным намерением передать эту заявку на экспертизу до блокировки.
- При блокировке репозитория обещают обеспечить возможность экспортировать issuе и PR-ы, и предложить юридические услуги.
Изменения, внесённые в правила, касающиеся эксплоитов и вредоносного ПО, учитывают критику, прозвучавшую после удаления компанией Microsoft прототипа эксплоита для Microsoft Exchange, используемого для совершения атак. В новых правилах предпринята попытка явного отделения содержимого, предоставляющего опасность и используемого для совершения активных атак, и кода, сопровождающего исследования в области безопасности. Внесённые изменения:
- Запрещено не только атаковать пользователей GitHub путём размещения на нём контента с эксплоитами или использовать GitHub как средство доставки экспдоитов, как было раньше, но и размещение вредоносного кода и эксплоитов, сопутствующих проведению активных атак. В общем виде не запрещено размещение примеров эксплоитов, подготовленных в ходе исследований безопасности и затрагивающих уже исправленные уязвимости, но всё будет зависеть от того, как трактовать термин “активные атаки”.
Например, опубликованные в любом виде исходные тексты JavaScript-кода, атакующего браузер, подпадает под данный критерий – злоумышленнику ничего не мешает загрузить исходный код в браузер жертвы fetch-ем, автоматически пропатчить, если прототип эксплоита опубликован в неработоспособном виде, и выполнить. Аналогично с любым другим кодом, например на C++ – ничто не мешает скомпилировать его на атакуемой машине, и выполнить. При обнаружения репозитория с подобным кодом его планируется не удалять, а закрывать к нему доступ.
- Перенесён выше по тексту раздел, запрещающий “спам”, накрутки, участие в рынке накруток, программы для нарушения правил каких-либо сайтов, фишинг и его попытки.
- Добавлен пункт с пояснением возможности подачи апелляции в случае несогласия с блокировкой.
- Добавлено требование к владельцам репозиториев, в которых в рамках исследований безопасности размещается потенциально опасное содержимое. Наличие подобного содержимого должно быть явно упомянуто вначале файла README.md, а в файле SECURITY.md должны быть предоставлены контактные данные для связи. Указано, что в общем виде GitHub не удаляет эксплоиты, опубликованные вместе с исследованиями безопасности для уже раскрытых уязвимостей (не 0-day), но оставляет за собой возможность ограничить доступ, если посчитает, что сохраняется риск применения данных эксплоитов для реальных атак и в службу поддержки GitHub поступают жалобы об использовании кода для атак.