윤리, 책임 있는 공개 및 법적 고려 사항

윤리적인 보안 연구는 모두의 보안을 향상합니다. 핵심 원칙은 테스트 권한을 받은 시스템만 테스트하는 것입니다. 권한은 버그 보상 프로그램에 명시된 서면 범위, 자산 소유자의 명시적인 서면 허가 또는 자산 소유권에서 비롯됩니다.

CVD는 영향을 받는 공급업체에 취약점을 비공개로 보고하고, 공개하기 전에 수정 사항을 개발하고 배포할 시간을 제공하는 절차입니다. 구글 프로젝트 제로가 제시한 90일 기준은 공급업체의 수정 시간과 연구자의 공개 권리를 균형 있게 조정합니다.

US CFAA는 컴퓨터에 대한 무단 접근을 연방 범죄로 규정합니다. "권한 부여"는 폭넓게 해석됩니다. 시스템에 공개적으로 접근할 수 있더라도 허가 없이 접근하면 CFAA를 위반할 수 있습니다. 버그 보상 프로그램의 면책 조항은 가장 중요한 법적 보호 수단입니다.

보안 연구 중 다른 사람에게 속한 개인 데이터를 접근하거나 저장하면 GDPR(EU) 및 유사한 데이터 보호법을 위반할 수 있습니다. 취약점을 입증하는 데 필요한 범위로 데이터 접근을 제한하십시오. 사용자의 PII를 다운로드하거나 복사하거나 보관하지 마십시오.

공급업체가 90일이 지나도 보고서를 무시한다면 최종 경고와 새로운 기한을 전달하고, 중재를 위해 플랫폼(HackerOne, Bugcrowd)에 알리며, 기술 세부 정보를 가린 제한적 공개를 고려하십시오. 법적 보호를 위해 모든 연락 시도를 시각과 함께 문서화하십시오.

공급업체가 패치를 배포하고 사용자가 업데이트할 시간을 가진 후에만 개념 증명 코드를 공개하십시오. 패치되지 않은 취약점에 대한 무기화된 개념 증명은 대규모 악용을 가능하게 하고 실제 사용자에게 피해를 줍니다. 책임감 있는 연구자는 공개 시점을 신중하게 조정합니다.

연구 중 자격 증명, PII 또는 기타 민감한 데이터를 발견하면 보고서에 필요한 최소한의 내용만 기록하고, 취약점을 입증하는 범위를 넘어 접근하지 말며, 대량의 데이터를 다운로드하지 말고, 신속하게 보고하십시오. 개념 증명에 필요한 범위를 넘어 추가 데이터에 접근하는 것은 비윤리적이며 잠재적으로 불법입니다.

법률은 국가마다 다릅니다. 영국 컴퓨터 오용법, EU NIS2 지침, 호주 사이버 범죄법이 그 예입니다. 핵심 인프라(병원, 전력망)에는 테스트를 추가로 금지하는 규정이 있을 수 있습니다. 자신의 관할권과 공급업체의 관할권 모두에서 적용되는 법적 체계를 이해하십시오.

AI/ML 시스템을 테스트할 때는 모델 추출, 적대적 입력 생성, 학습 데이터에 대한 개인정보 공격과 같은 고유한 고려 사항이 생깁니다. 기반 모델 자체가 그 밖의 범위에 포함되더라도 이러한 기법은 프로그램 규칙이나 IP 법률을 위반할 수 있습니다.

개인 윤리 체계: (1) 권한이 있습니까? (2) 피해를 최소화하고 있습니까? (3) 영향을 받는 사용자의 데이터를 보호하고 있습니까? (4) 공개 규범을 따르고 있습니까? (5) 귀하의 행동이 대중의 검증을 견딜 수 있습니까? 진행하기 전에 모든 질문에 '예'라고 답해야 합니다.

EFF의 코드 작성자 권리 프로젝트와 같은 조직은 선의로 활동하는 보안 연구자를 위한 법적 방어 자료를 제공합니다. DEF CON의 취약점 공개 지침과 인터넷 버그 바운티 프로그램은 이해하고 따라야 할 커뮤니티 표준을 보여 줍니다.

공개 전에 적용되는 표준 공동 취약점 공개(CVD) 일정은 어떻게 됩니까?

윤리적인 보안 연구를 수행하려면 명시적인 권한 부여, 최소한의 데이터 접근, 민감한 발견 사항의 책임 있는 처리, 그리고 사용자 안전과 연구자의 권리를 모두 존중하는 공동 공개가 필요합니다. CFAA, GDPR 및 취약점 공개 규범을 이해하면 연구자와 대중을 동시에 보호할 수 있습니다.