Etika, Pengungkapan yang Bertanggung Jawab, dan Pertimbangan Hukum

Riset keamanan yang etis meningkatkan keamanan bagi semua orang. Prinsip utamanya: hanya uji sistem yang Anda berwenang untuk uji. Otorisasi berasal dari cakupan tertulis dalam program bug bounty, izin tertulis yang eksplisit dari pemilik aset, atau kepemilikan atas aset tersebut.

CVD adalah proses melaporkan kerentanan secara privat kepada penyedia yang terdampak, sehingga penyedia memiliki waktu untuk mengembangkan dan merilis perbaikan sebelum pengungkapan publik. Standar 90 hari (Google Project Zero) menyeimbangkan waktu perbaikan bagi penyedia dengan hak pengungkapan peneliti.

CFAA di US menetapkan akses komputer tanpa otorisasi sebagai tindak pidana federal. "Otorisasi" ditafsirkan secara luas—meskipun suatu sistem dapat diakses publik, mengaksesnya tanpa izin dapat melanggar CFAA. Perlindungan hukum bug bounty adalah perlindungan hukum utama Anda.

Mengakses atau menyimpan data pribadi milik orang lain selama riset keamanan dapat melanggar GDPR (EU) dan undang-undang perlindungan data serupa. Batasi akses data hanya pada hal yang diperlukan untuk membuktikan kerentanan. Jangan mengunduh, menyalin, atau menyimpan PII pengguna.

Jika penyedia mengabaikan laporan setelah 90 hari: kirimkan peringatan terakhir dengan tenggat waktu baru, beri tahu platform (HackerOne, Bugcrowd) untuk mediasi, dan pertimbangkan pengungkapan terbatas dengan detail teknis yang disamarkan. Dokumentasikan semua upaya kontak beserta cap waktunya sebagai perlindungan hukum.

Publikasikan kode PoC hanya setelah penyedia merilis patch dan pengguna memiliki waktu untuk memperbarui sistem. PoC berbahaya pada kerentanan yang belum ditambal memungkinkan eksploitasi massal dan merugikan pengguna nyata. Peneliti yang bertanggung jawab mengatur waktu pengungkapan dengan cermat.

Jika Anda menemukan kredensial, PII, atau data sensitif lainnya selama riset: dokumentasikan secara minimal untuk laporan, jangan mengaksesnya melebihi hal yang membuktikan kerentanan, jangan mengunduh data dalam jumlah besar, dan segera laporkan. Mengakses data tambahan di luar bukti konsep merupakan tindakan tidak etis dan berpotensi melanggar hukum.

Undang-undang berbeda-beda di setiap negara: Undang-Undang Penyalahgunaan Komputer UK, Arahan NIS2 EU, dan Undang-Undang Kejahatan Siber Australia. Infrastruktur kritis (rumah sakit, jaringan listrik) mungkin memiliki larangan tambahan terhadap pengujian. Pahami kerangka hukum di yurisdiksi Anda dan yurisdiksi penyedia.

Menguji sistem AI/ML menimbulkan pertimbangan khusus: ekstraksi model, pembuatan input adversarial, dan serangan privasi terhadap data pelatihan. Teknik-teknik ini dapat melanggar aturan program atau hukum IP meskipun model dasarnya termasuk dalam cakupan.

Kerangka kerja etika pribadi: (1) Apakah saya berwenang? (2) Apakah saya meminimalkan dampak buruk? (3) Apakah saya melindungi data pengguna yang terdampak? (4) Apakah saya mengikuti norma pengungkapan? (5) Apakah tindakan saya akan tetap dapat dipertanggungjawabkan di hadapan publik? Jawablah "ya" untuk semuanya sebelum melanjutkan.

Organisasi seperti Proyek Hak Pembuat Kode milik EFF menyediakan sumber daya pembelaan hukum bagi peneliti keamanan yang bertindak dengan iktikad baik. Pedoman pengungkapan kerentanan DEF CON dan program hadiah kerentanan Internet merupakan standar komunitas yang patut dipahami dan diikuti.

Berapa jangka waktu standar pengungkapan kerentanan terkoordinasi (CVD) sebelum pengungkapan kepada publik?

Penelitian keamanan yang etis memerlukan otorisasi yang jelas, akses data seminimal mungkin, penanganan temuan sensitif secara bertanggung jawab, serta pengungkapan terkoordinasi yang menghormati keselamatan pengguna dan hak peneliti. Memahami CFAA, GDPR, dan norma pengungkapan sekaligus melindungi peneliti dan masyarakat.