จริยธรรม การเปิดเผยอย่างมีความรับผิดชอบ และข้อพิจารณาทางกฎหมาย

การวิจัยด้านความปลอดภัยอย่างมีจริยธรรมช่วยปรับปรุงความปลอดภัยให้ทุกคน หลักการสำคัญคือ ทดสอบเฉพาะระบบที่คุณได้รับอนุญาตให้ทดสอบเท่านั้น การอนุญาตอาจมาจากขอบเขตที่เขียนไว้ในโปรแกรมล่ารางวัลช่องโหว่ การอนุญาตเป็นลายลักษณ์อักษรอย่างชัดแจ้งจากเจ้าของทรัพย์สิน หรือการเป็นเจ้าของทรัพย์สินนั้นเอง

CVD คือกระบวนการรายงานช่องโหว่เป็นการส่วนตัวไปยังผู้ให้บริการที่ได้รับผลกระทบ เพื่อให้มีเวลาในการพัฒนาและเผยแพร่การแก้ไขก่อนเปิดเผยต่อสาธารณะ มาตรฐาน 90 วัน (ของ Google Project Zero) สร้างสมดุลระหว่างเวลาที่ผู้ให้บริการใช้แก้ไขกับสิทธิ์ของนักวิจัยในการเปิดเผยข้อมูล

CFAA ของ US กำหนดให้การเข้าถึงคอมพิวเตอร์โดยไม่ได้รับอนุญาตเป็นความผิดอาญาระดับรัฐบาลกลาง คำว่า "การอนุญาต" ถูกตีความอย่างกว้าง — แม้ระบบจะเข้าถึงได้แบบสาธารณะ การเข้าถึงโดยไม่ได้รับอนุญาตก็อาจละเมิด CFAA ได้ ข้อคุ้มครองทางกฎหมายของโปรแกรมล่ารางวัลช่องโหว่คือการคุ้มครองทางกฎหมายหลักของคุณ

การเข้าถึงหรือจัดเก็บข้อมูลส่วนบุคคลของผู้อื่นระหว่างการวิจัยด้านความปลอดภัยอาจละเมิด GDPR (EU) และกฎหมายคุ้มครองข้อมูลที่คล้ายกัน จำกัดการเข้าถึงข้อมูลไว้เท่าที่จำเป็นต่อการพิสูจน์ช่องโหว่ อย่าดาวน์โหลด คัดลอก หรือเก็บรักษา PII ของผู้ใช้

หากผู้ให้บริการเพิกเฉยต่อรายงานหลังผ่านไป 90 วัน ให้ส่งคำเตือนครั้งสุดท้ายพร้อมกำหนดเวลาใหม่ แจ้งแพลตฟอร์ม (HackerOne, Bugcrowd) เพื่อขอให้ช่วยไกล่เกลี่ย และพิจารณาเปิดเผยข้อมูลอย่างจำกัดโดยปกปิดรายละเอียดทางเทคนิค จัดทำบันทึกความพยายามติดต่อทั้งหมดพร้อมเวลาที่ระบุไว้ เพื่อคุ้มครองทางกฎหมาย

เผยแพร่โค้ด PoC หลังจากผู้ให้บริการออกแพตช์แล้วและผู้ใช้มีเวลาอัปเดตระบบเพียงพอเท่านั้น PoCs ที่นำไปใช้โจมตีได้ในช่องโหว่ที่ยังไม่ได้รับการแก้ไขจะเอื้อให้เกิดการโจมตีในวงกว้างและสร้างความเสียหายแก่ผู้ใช้จริง นักวิจัยที่มีความรับผิดชอบจะกำหนดเวลาเปิดเผยข้อมูลอย่างรอบคอบ

หากพบข้อมูลประจำตัว PII หรือข้อมูลอ่อนไหวอื่น ๆ ระหว่างการวิจัย ให้บันทึกไว้ในรายงานเท่าที่จำเป็น อย่าเข้าถึงข้อมูลเกินกว่าที่ใช้พิสูจน์ช่องโหว่ อย่าดาวน์โหลดข้อมูลจำนวนมาก และรีบรายงานโดยเร็ว การเข้าถึงข้อมูลเพิ่มเติมนอกเหนือจากหลักฐานยืนยันแนวคิดถือเป็นการกระทำที่ผิดจริยธรรมและอาจผิดกฎหมาย

กฎหมายแตกต่างกันไปในแต่ละประเทศ เช่น กฎหมายว่าด้วยการใช้คอมพิวเตอร์ในทางที่ผิดของ UK, ข้อกำหนด NIS2 ของ EU และกฎหมายอาชญากรรมไซเบอร์ของออสเตรเลีย โครงสร้างพื้นฐานสำคัญ (เช่น โรงพยาบาลและโครงข่ายไฟฟ้า) อาจมีข้อห้ามเพิ่มเติมเกี่ยวกับการทดสอบ โปรดทำความเข้าใจกรอบกฎหมายทั้งในเขตอำนาจศาลของคุณและของผู้ให้บริการ

การทดสอบระบบ AI/ML มีประเด็นเฉพาะที่ต้องคำนึงถึง เช่น การสกัดแบบจำลอง การสร้างอินพุตฝ่ายตรงข้าม และการโจมตีความเป็นส่วนตัวของข้อมูลฝึกสอน เทคนิคเหล่านี้อาจละเมิดกฎของโปรแกรมหรือกฎหมาย IP แม้แบบจำลองพื้นฐานจะอยู่ในขอบเขตที่อนุญาตก็ตาม

กรอบจริยธรรมส่วนบุคคล: (1) ได้รับอนุญาตหรือไม่ (2) กำลังลดอันตรายให้น้อยที่สุดหรือไม่ (3) กำลังปกป้องข้อมูลของผู้ใช้ที่ได้รับผลกระทบหรือไม่ (4) ปฏิบัติตามบรรทัดฐานการเปิดเผยข้อมูลหรือไม่ (5) หากการกระทำของตนถูกสาธารณชนตรวจสอบ จะยอมรับได้หรือไม่ ตอบว่าใช่ทุกข้อก่อนดำเนินการต่อ

องค์กรอย่างโครงการสิทธิของผู้เขียนโปรแกรมของ EFF จัดหาแหล่งข้อมูลด้านการคุ้มครองทางกฎหมายสำหรับนักวิจัยด้านความมั่นคงปลอดภัยที่ดำเนินการโดยสุจริต แนวทางการเปิดเผยช่องโหว่ของ DEF CON และโครงการรางวัลบั๊กทางอินเทอร์เน็ตเป็นมาตรฐานของชุมชนที่ควรทำความเข้าใจและปฏิบัติตาม

กรอบเวลามาตรฐานของการเปิดเผยช่องโหว่แบบประสานงาน (CVD) ก่อนการเปิดเผยต่อสาธารณะคือเท่าใด

การวิจัยด้านความมั่นคงปลอดภัยอย่างมีจริยธรรมต้องมีการอนุญาตอย่างชัดเจน การเข้าถึงข้อมูลให้น้อยที่สุด การจัดการข้อค้นพบที่ละเอียดอ่อนอย่างรับผิดชอบ และการเปิดเผยข้อมูลแบบประสานงานที่คำนึงถึงทั้งความปลอดภัยของผู้ใช้และสิทธิของนักวิจัย การทำความเข้าใจ CFAA, GDPR และบรรทัดฐานการเปิดเผยข้อมูลช่วยคุ้มครองทั้งนักวิจัยและสาธารณชนไปพร้อมกัน