Etica, responsible disclosure e aspetti legali

La ricerca etica sulla sicurezza migliora la sicurezza per tutti. Il principio fondamentale è testare esclusivamente i sistemi per i quali si dispone dell'autorizzazione. L'autorizzazione deriva dall'ambito scritto nei programmi di bug bounty, da un permesso scritto esplicito dei proprietari degli asset o dalla proprietà degli asset stessi.

La CVD è il processo di segnalazione privata di una vulnerabilità al fornitore interessato, concedendogli il tempo necessario per sviluppare e distribuire una correzione prima della divulgazione pubblica. Lo standard dei 90 giorni (Google Project Zero) bilancia il tempo necessario al fornitore per correggere il problema con i diritti del ricercatore alla divulgazione.

Il CFAA statunitense considera l'accesso non autorizzato ai computer un reato federale. Il termine "autorizzazione" viene interpretato in senso ampio: anche se un sistema è accessibile pubblicamente, accedervi senza permesso può violare il CFAA. I safe harbor dei bug bounty sono la principale protezione legale di cui dispone.

Accedere o conservare dati personali appartenenti ad altri durante la ricerca sulla sicurezza può violare il GDPR (UE) e leggi analoghe sulla protezione dei dati. Limiti l'accesso ai dati a quanto necessario per dimostrare la vulnerabilità. Non scarichi, copi o conservi dati personali identificabili degli utenti.

Se un fornitore ignora le segnalazioni dopo 90 giorni: invii un ultimo avviso con una nuova scadenza, informi la piattaforma (HackerOne, Bugcrowd) per una mediazione e valuti una divulgazione limitata con i dettagli tecnici oscurati. Documenti tutti i tentativi di contatto con relative marcature temporali per tutelarsi legalmente.

Pubblici il codice PoC solo dopo che il fornitore ha rilasciato una patch e gli utenti hanno avuto il tempo di aggiornare i propri sistemi. I PoC weaponized per vulnerabilità non corrette consentono lo sfruttamento su vasta scala e danneggiano gli utenti reali. I ricercatori responsabili pianificano attentamente i tempi della divulgazione.

Se durante la ricerca trova credenziali, dati personali identificabili o altri dati sensibili: li documenti solo nei limiti minimi necessari per la segnalazione, non vi acceda oltre quanto necessario a dimostrare la vulnerabilità, non scarichi grandi quantità di dati e segnali tempestivamente il problema. Accedere a dati aggiuntivi oltre quelli necessari per la proof of concept è contrario all'etica e potenzialmente illegale.

Le leggi variano da un Paese all'altro: UK Computer Misuse Act, direttiva NIS2 dell'UE, Australia's Cybercrime Act. Le infrastrutture critiche (ospedali, reti elettriche) possono essere soggette a ulteriori divieti di eseguire test. Comprenda il quadro giuridico sia della propria giurisdizione sia di quella del fornitore.

Il test dei sistemi di IA/ML introduce considerazioni specifiche: estrazione del modello, generazione di input avversari e attacchi alla privacy dei dati di addestramento. Queste tecniche possono violare le regole del programma o la normativa sulla proprietà intellettuale, anche se il modello sottostante rientra altrimenti nell’ambito autorizzato.

Framework personale per l'etica: (1) Ho l'autorizzazione? (2) Sto riducendo al minimo i danni? (3) Sto proteggendo i dati degli utenti coinvolti? (4) Sto rispettando le norme sulla divulgazione? (5) Le mie azioni resisterebbero al vaglio dell'opinione pubblica? Risponda sì a tutte le domande prima di procedere.

Organizzazioni come EFF's Coders Rights Project mettono a disposizione risorse per la difesa legale dei ricercatori di sicurezza che agiscono in buona fede. Le linee guida di DEF CON sulla divulgazione delle vulnerabilità e il programma Internet Bug Bounty rappresentano standard della comunità che è importante conoscere e rispettare.

Qual è la tempistica standard prevista dalla divulgazione coordinata delle vulnerabilità (CVD) prima della divulgazione pubblica?

La ricerca etica sulla sicurezza richiede un'autorizzazione esplicita, un accesso minimo ai dati, una gestione responsabile dei risultati sensibili e una divulgazione coordinata che rispetti sia la sicurezza degli utenti sia i diritti dei ricercatori. Comprendere il CFAA, il GDPR e le norme sulla divulgazione protegge contemporaneamente i ricercatori e il pubblico.