GitHub分发闭源软件二进制文件的官方政策及合规性问询

核心问题 #

尽管可以在GitHub上发布无源码或源码过时的软件，但需明确：

• 这种做法的合法性
• 微软（GitHub母公司）的官方立场

平台认知与现象观察 #

• 对大多数开发者而言，GitHub是承载开源技术、提供可靠前瞻性应用的平台。
• 注意到部分个人或组织会以较为隐晦的方式发布无源码/源码过时的软件，需要仔细甄别才能发现。

相关安全案例参考 #

曾有一个现已被遗忘的案例：BinTray曾被黑客用于分发恶意软件，相关记录提到：

Bintray: Malicious packages reported in JCenter (2017). https://status.bintray.com/incidents/w4dfr0rpznkt .

潜在安全风险分析 #

• 此类无源码/源码过时的软件可能带来新的安全漏洞，比如软件运行时向恶意服务器发送收集到的敏感数据，仅靠binary analysis（二进制分析）无法发现这类问题。
• 黑客会采用多种技术掩盖恶意意图，目前看来，唯一有效的保障是构建可复现性以及推动多方对可疑代码或软件行为的审核。

研究进展说明 #

• 需基于官方文档或权威依据的答案，拒绝无根据的主观观点。若后续自行找到答案，会补充在此处，但目前无法通过谷歌直接检索到相关明确信息。
• 已访问的相关资源：
  • Reddit社区中关于使用GitHub分发大型闭源软件的讨论
  • BetterDisplay项目的相关Issue

内容的提问来源于stack exchange，提问作者Paul Verest on LinkedIn