Etyka, odpowiedzialne ujawnianie i aspekty prawne

Etyczne badania bezpieczeństwa poprawiają bezpieczeństwo wszystkich użytkowników. Podstawowa zasada brzmi: wolno testować wyłącznie systemy, do których testowania ma się upoważnienie. Upoważnienie wynika z pisemnego zakresu programu bug bounty, wyraźnej pisemnej zgody właścicieli zasobów albo własności tych zasobów.

CVD to proces prywatnego zgłaszania podatności dostawcy, którego dotyczy problem, aby umożliwić mu opracowanie i wydanie poprawki przed publicznym ujawnieniem. Standard 90 dni (Google Project Zero) równoważy czas potrzebny dostawcy na naprawę z prawem badacza do ujawnienia informacji.

Amerykańska ustawa CFAA uznaje nieuprawniony dostęp do komputera za przestępstwo federalne. Pojęcie „upoważnienia” jest interpretowane szeroko — nawet jeśli system jest publicznie dostępny, uzyskanie dostępu bez zezwolenia może naruszać ustawę CFAA. Klauzule safe harbor w programach bug bounty stanowią podstawową ochronę prawną.

Uzyskiwanie dostępu do danych osobowych należących do innych osób lub przechowywanie ich podczas badań bezpieczeństwa może naruszać GDPR (UE) i podobne przepisy o ochronie danych. Dostęp do danych należy ograniczyć do zakresu niezbędnego do udowodnienia podatności. Nie wolno pobierać, kopiować ani przechowywać danych osobowych użytkowników.

Jeśli dostawca ignoruje zgłoszenia po upływie 90 dni, należy wystosować ostateczne ostrzeżenie z nowym terminem, powiadomić platformę (HackerOne, Bugcrowd) w celu mediacji i rozważyć ograniczone ujawnienie z usuniętymi szczegółami technicznymi. Wszystkie próby kontaktu należy dokumentować wraz ze znacznikami czasu w celu ochrony prawnej.

Kod PoC należy publikować dopiero po wydaniu przez dostawcę poprawki i po upływie czasu umożliwiającego użytkownikom aktualizację. Uzbrojone PoC dotyczące niezałatanych podatności umożliwiają masowe wykorzystanie i szkodzą rzeczywistym użytkownikom. Odpowiedzialni badacze starannie planują terminy ujawniania.

Jeśli podczas badań napotka się poświadczenia, dane osobowe lub inne dane wrażliwe, należy: udokumentować je w raporcie w minimalnym zakresie, nie uzyskiwać do nich dostępu wykraczającego poza to, co potwierdza podatność, nie pobierać dużych zbiorów danych oraz niezwłocznie je zgłosić. Uzyskiwanie dostępu do dodatkowych danych poza zakresem proof of concept jest nieetyczne i potencjalnie niezgodne z prawem.

Przepisy różnią się w zależności od kraju: brytyjska ustawa Computer Misuse Act, unijna dyrektywa NIS2 czy australijska Cybercrime Act. Infrastruktura krytyczna (szpitale, sieci energetyczne) może podlegać dodatkowym zakazom testowania. Należy znać ramy prawne obowiązujące zarówno w swojej jurysdykcji, jak i u dostawcy.

Testowanie systemów AI/ML wiąże się z wyjątkowymi kwestiami, takimi jak ekstrakcja modelu, generowanie danych wejściowych do ataków adwersarialnych i ataki na prywatność danych treningowych. Techniki te mogą naruszać zasady programu lub przepisy dotyczące własności intelektualnej, nawet jeśli sam model jest objęty zakresem programu.

Osobiste ramy etyczne: (1) Czy mam upoważnienie? (2) Czy minimalizuję szkody? (3) Czy chronię dane użytkowników, których to dotyczy? (4) Czy przestrzegam zasad ujawniania? (5) Czy moje działania wytrzymałyby publiczną ocenę? Przed rozpoczęciem należy odpowiedzieć twierdząco na wszystkie pytania.

Organizacje takie jak EFF's Coders Rights Project zapewniają zasoby na obronę prawną badaczy bezpieczeństwa działających w dobrej wierze. Wytyczne DEF CON dotyczące ujawniania podatności oraz program Internet Bug Bounty reprezentują standardy społeczności, które warto poznać i stosować.

Jaki jest standardowy harmonogram skoordynowanego ujawniania podatności (CVD) przed ujawnieniem publicznym?

Etyczne badania bezpieczeństwa wymagają wyraźnego upoważnienia, minimalnego dostępu do danych, odpowiedzialnego obchodzenia się z wrażliwymi ustaleniami oraz skoordynowanego ujawniania, które uwzględnia zarówno bezpieczeństwo użytkowników, jak i prawa badaczy. Zrozumienie CFAA, GDPR oraz zasad ujawniania jednocześnie chroni badaczy i opinię publiczną.