الأخلاقيات والإفصاح المسؤول والاعتبارات القانونية

تُحسّن أبحاث الأمان الأخلاقية مستوى الأمان للجميع. والمبدأ الأساسي هو اختبار الأنظمة التي تملك تفويضًا لاختبارها فقط. ويأتي التفويض من النطاق المكتوب في برامج مكافآت اكتشاف الثغرات، أو الإذن الكتابي الصريح من مالكي الأصول، أو ملكية الأصول نفسها.

الإفصاح المنسق عن الثغرات (CVD) هو عملية إبلاغ المورّد المتأثر بالثغرة على نحو خاص، مع إتاحة الوقت له لتطوير إصلاح وإصداره قبل الإفصاح العلني. ويوازن معيار التسعين يومًا (المعتمد من Google Project Zero) بين الوقت اللازم للمورّد لمعالجة الثغرة وحقوق الباحث في الإفصاح.

يجرّم قانون الاحتيال وإساءة استخدام الحاسوب الأمريكي (CFAA) الوصول غير المصرح به إلى أجهزة الحاسوب باعتباره جريمة اتحادية. ويُفسَّر «التفويض» على نطاق واسع؛ فحتى إذا كان النظام متاحًا للعامة، فقد يشكل الوصول إليه من دون إذن انتهاكًا لـ CFAA. وتُعد بنود الملاذ الآمن في برامج مكافآت اكتشاف الثغرات الحماية القانونية الأساسية لك.

قد ينتهك الوصول إلى البيانات الشخصية الخاصة بالآخرين أو تخزينها أثناء أبحاث الأمان اللائحة العامة لحماية البيانات (GDPR) في الاتحاد الأوروبي وقوانين حماية البيانات المماثلة. قلّل الوصول إلى البيانات بحيث يقتصر على ما يلزم لإثبات الثغرة. ولا تنزّل معلومات التعريف الشخصية للمستخدمين أو تنسخها أو تحتفظ بها.

إذا تجاهل المورّد البلاغات بعد مرور 90 يومًا، فأرسل تحذيرًا نهائيًا مع موعد نهائي جديد، وأبلغ المنصة (HackerOne أو Bugcrowd) لطلب الوساطة، وفكّر في إفصاح محدود مع حجب التفاصيل التقنية. وسجّل جميع محاولات التواصل مع طوابعها الزمنية للحماية القانونية.

لا تنشر كود إثبات المفهوم إلا بعد أن يصدر المورّد تصحيحًا ويُمنح المستخدمون وقتًا لتحديث أنظمتهم. إذ تتيح إثباتات المفهوم القابلة للاستخدام الهجومي في الثغرات غير المصححة استغلالًا واسع النطاق وتلحق الضرر بالمستخدمين الحقيقيين. ويحدد الباحثون المسؤولون توقيت الإفصاح بعناية.

إذا صادفت بيانات اعتماد أو معلومات تعريف شخصية أو بيانات حساسة أخرى أثناء البحث، فوثّق الحد الأدنى اللازم منها في البلاغ، ولا تصل إليها بما يتجاوز ما يثبت الثغرة، ولا تنزّل كميات كبيرة من البيانات، وأبلغ عنها بسرعة. فالوصول إلى بيانات إضافية تتجاوز إثبات المفهوم غير أخلاقي وقد يكون غير قانوني.

تختلف القوانين من بلد إلى آخر، ومنها قانون إساءة استخدام الحاسوب في المملكة المتحدة، وتوجيه NIS2 في الاتحاد الأوروبي، وقانون الجرائم الإلكترونية في أستراليا. وقد تفرض البنية التحتية الحيوية (مثل المستشفيات وشبكات الكهرباء) حظرًا إضافيًا على الاختبار. افهم الإطار القانوني في ولايتك القضائية وفي ولاية المورّد القضائية.

ينطوي اختبار أنظمة الذكاء الاصطناعي وتعلّم الآلة على اعتبارات فريدة، مثل استخراج النماذج، وتوليد المدخلات الخصمية، وهجمات الخصوصية على بيانات التدريب. وقد تنتهك هذه التقنيات قواعد البرنامج أو قوانين الملكية الفكرية، حتى إذا كان النموذج الأساسي مشمولًا بالنطاق من نواحٍ أخرى.

إطار الأخلاقيات الشخصية: (1) هل لدي تصريح؟ (2) هل أقلل الضرر؟ (3) هل أحمي بيانات المستخدمين المتأثرين؟ (4) هل ألتزم بأعراف الإفصاح؟ (5) هل تصمد أفعالي أمام التدقيق العلني؟ أجب بنعم عن جميعها قبل المتابعة.

توفر منظمات مثل مشروع Coders Rights Project التابع لـ EFF موارد للدفاع القانوني عن الباحثين الأمنيين الذين يعملون بحسن نية. وتمثل إرشادات الإفصاح عن الثغرات في DEF CON وبرنامج Internet Bug Bounty معايير مجتمعية جديرة بالفهم والاتباع.

ما الجدول الزمني القياسي للإفصاح المنسق عن الثغرات (CVD) قبل الإفصاح العلني؟

يتطلب البحث الأمني الأخلاقي تصريحًا صريحًا، والوصول إلى الحد الأدنى من البيانات، والتعامل المسؤول مع النتائج الحساسة، والإفصاح المنسق الذي يراعي سلامة المستخدمين وحقوق الباحثين على حد سواء. ويساعد فهم CFAA وGDPR وأعراف الإفصاح على حماية الباحثين والجمهور في الوقت نفسه.