Этика, ответственное раскрытие и юридические аспекты

Этичные исследования безопасности повышают уровень безопасности для всех. Основной принцип: тестируйте только те системы, на проверку которых у Вас есть разрешение. Разрешение подтверждается письменными границами проверки в программах вознаграждения за ошибки, явным письменным согласием владельцев активов или владением самими активами.

CVD — это процесс, при котором об уязвимости сначала в частном порядке сообщают затронутому поставщику, оставляя ему время на разработку и выпуск исправления до публичного раскрытия. Стандартный срок в 90 дней (Google Project Zero) уравновешивает время поставщика на устранение проблемы и право исследователя на раскрытие информации.

CFAA в US считает несанкционированный доступ к компьютеру федеральным преступлением. Термин «разрешение» толкуется широко: даже если система общедоступна, доступ к ней без разрешения может нарушать CFAA. Условия правовой защиты в программах вознаграждения за ошибки — Ваша основная юридическая защита.

Доступ к персональным данным других людей или их хранение во время исследований безопасности может нарушать GDPR (EU) и аналогичные законы о защите данных. Ограничивайте доступ к данным тем объемом, который необходим для подтверждения уязвимости. Не скачивайте, не копируйте и не храните PII пользователей.

Если поставщик игнорирует отчеты в течение 90 дней, отправьте последнее предупреждение с новым сроком, уведомите платформу (HackerOne, Bugcrowd) для посредничества и рассмотрите возможность ограниченного раскрытия с удалением технических подробностей. Для юридической защиты документируйте все попытки связаться с поставщиком и указывайте время каждой попытки.

Публикуйте код демонстрации работоспособности только после того, как поставщик выпустит исправление, а пользователи получат время на обновление. Практические коды эксплуатации неисправленных уязвимостей создают возможность массовых атак и вредят реальным пользователям. Ответственные исследователи тщательно выбирают время раскрытия.

Если во время исследования Вы обнаружили учетные данные, PII или другие конфиденциальные данные, минимально зафиксируйте их в отчете, не обращайтесь к ним сверх необходимого для подтверждения уязвимости, не скачивайте большие объемы данных и своевременно сообщите о находке. Доступ к дополнительным данным сверх доказательства работоспособности неэтичен и потенциально незаконен.

Законы различаются в разных странах: Закон UK о неправомерном использовании компьютеров, Директива NIS2 EU, Закон Австралии о киберпреступности. Для критически важной инфраструктуры (больниц, электросетей) могут действовать дополнительные запреты на тестирование. Изучите правовую систему как своей юрисдикции, так и юрисдикции поставщика.

Тестирование систем искусственного интеллекта и машинного обучения связано с особыми аспектами: извлечением модели, созданием состязательных входных данных и атаками на конфиденциальность обучающих данных. Эти методы могут нарушать правила программы или нормы IP-права, даже если сама модель в остальном входит в область проверки.

Личная этическая рамка: (1) Есть ли у Вас соответствующее разрешение? (2) Сводите ли Вы вред к минимуму? (3) Защищаете ли Вы данные затронутых пользователей? (4) Соблюдаете ли Вы нормы раскрытия информации? (5) Выдержат ли Ваши действия общественную проверку? Прежде чем продолжить, ответьте «да» на все вопросы.

Такие организации, как проект EFF «Права программистов», предоставляют ресурсы для юридической защиты исследователей безопасности, действующих добросовестно. Рекомендации DEF CON по раскрытию уязвимостей и программа «Баунти за ошибки в Интернете» отражают нормы сообщества, которые важно понимать и соблюдать.

Каков стандартный срок скоординированного раскрытия уязвимости (CVD) до её публичного раскрытия?

Этичное исследование безопасности требует явного разрешения, минимального доступа к данным, ответственного обращения с конфиденциальными результатами и скоординированного раскрытия информации с учётом как безопасности пользователей, так и прав исследователей. Понимание CFAA, GDPR и норм раскрытия информации одновременно защищает исследователей и общество.