GitHub作為超級流行的源代碼管理平臺,以其實用的功能和用戶友好的界面攀上了全球最大代碼倉庫的位置,如今其上托管著超過8000萬源代碼庫。公司和個人都在用GitHub存儲和管理源代碼,保持軟件開發(fā)項目平穩(wěn)進行。
安全研究員Nguyen Jang在3月向GitHub上傳了微軟Exchange ProxyLogon 概念驗證漏洞(PoC),不久GitHub刪除了PoC,并表示是為了保護當時被大量利用該漏洞的微軟 Exchange 服務器。
隨即安全人員對其發(fā)起攻擊,認為GitHub 正在對合法安全研究的披露進行監(jiān)管,僅僅是因為它影響了微軟的產品。
4月,GitHub 向網絡安全社區(qū)發(fā)出了關于他們對托管在 GitHub 上的惡意軟件和漏洞政策的“反饋呼吁”。
近日GitHub發(fā)布指導方針正式宣布,禁止為惡意活動托管惡意軟件、充當命令和控制服務器,以及用于分發(fā)惡意腳本而創(chuàng)建的倉庫。然而,允許對外積極分享新信息和安全研究等目的的 PoC 漏洞和惡意軟件。
我們明確允許安全技術,以及與研究漏洞、惡意軟件和漏洞有關的內容。我們理解 GitHub 上的許多安全研究項目是具有善意用途的,并且對安全社區(qū)廣泛有益。
我們澄清了如何以及何時可以中斷正在進行的、利用 GitHub 平臺作為漏洞或惡意軟件內容交付網絡(CDN)的攻擊。我們不允許使用 GitHub 來直接支持造成技術損害的非法攻擊。
我們在這個政策中直接有一個上訴和恢復程序。我們允許用戶對限制其內容或賬戶訪問的決定提出上訴。
我們提出了一種方法,讓各方在向 GitHub 報告濫用行為之前可以解決爭端。這以建議的形式出現(xiàn),即利用項目的可選 SECURITY.md 文件來提供聯(lián)系信息以解決濫用報告。
GitHub 表示,他們將繼續(xù)支持社區(qū)對其政策的反饋,以繼續(xù)改進其政策。
有網友非常贊同這個舉措,認為:“各CVE的PoC或者Exploit在漏洞修復以后開源出來沒毛病?!?/p>
但是也有網友認為此政策非常危險,認為這個:“惡意軟件編譯后惡意運行怎么辦”“會成為學習編寫惡意軟件的途徑”。
還有用戶對這個舉措,提出了自己的疑問:“那如何界定是否以安全為目的呢?”“會不會造成開源社區(qū)出現(xiàn)病毒木馬呢?”
針對GitHub的這項舉措,你怎么看呢?