Etik, Sorumlu Açıklama ve Hukuki Hususlar

Etik güvenlik araştırmaları herkes için güvenliği iyileştirir. Temel ilke şudur: yalnızca sınama yetkiniz olan sistemleri sınayın. Yetki; hata ödül programlarındaki yazılı kapsamdan, varlık sahiplerinin açık yazılı izninden veya varlıkların sahibi olmanızdan kaynaklanır.

CVD, güvenlik açığını etkilenen sağlayıcıya özel olarak bildirme ve herkese açık açıklamadan önce düzeltme geliştirmesi ve yayımlaması için süre tanıma sürecidir. 90 günlük standart (Google Project Zero), sağlayıcının düzeltme süresi ile araştırmacının açıklama haklarını dengeler.

US CFAA, yetkisiz bilgisayar erişimini federal suç sayar. "Yetki" geniş yorumlanır — bir sistem herkese açık erişilebilir olsa bile, izinsiz erişim CFAA'yı ihlal edebilir. Hata ödül programlarındaki güvenli limanlar birincil hukuki korumanızdır.

Güvenlik araştırması sırasında başkalarına ait kişisel verilere erişmek veya bunları depolamak GDPR'yi (EU) ve benzer veri koruma yasalarını ihlal edebilir. Veri erişimini güvenlik açığını kanıtlamak için gerekli olanla sınırlayın. Kullanıcıların PII verilerini indirmeyin, kopyalamayın veya saklamayın.

Bir sağlayıcı 90 gün sonra raporları görmezden gelirse: yeni bir son tarih içeren son bir uyarı gönderin, arabuluculuk için platformu (HackerOne, Bugcrowd) bilgilendirin ve teknik ayrıntıları sansürleyerek sınırlı açıklamayı değerlendirin. Hukuki koruma için tüm iletişim girişimlerini zaman damgalarıyla belgeleyin.

Kavram kanıtı kodunu yalnızca sağlayıcı bir yama yayımladıktan ve kullanıcıların güncelleme yapması için yeterli süre geçtikten sonra yayımlayın. Yaması bulunmayan güvenlik açıklarına yönelik saldırıya hazır kavram kanıtları kitlesel istismarı mümkün kılar ve gerçek kullanıcılara zarar verir. Sorumlu araştırmacılar açıklamayı dikkatle zamanlar.

Araştırma sırasında kimlik bilgileri, PII veya başka hassas verilerle karşılaşırsanız: rapor için bunları asgari düzeyde belgeleyin, güvenlik açığını kanıtlamak için gerekenden fazlasına erişmeyin, toplu verileri indirmeyin ve gecikmeden bildirin. Kavram kanıtının ötesinde ek verilere erişmek etik dışıdır ve potansiyel olarak yasa dışıdır.

Yasalar ülkeye göre değişir: UK Bilgisayar Kötüye Kullanımı Yasası, EU NIS2 Direktifi, Avustralya'nın Siber Suç Yasası. Kritik altyapılarda (hastaneler, elektrik şebekeleri) sınamaya ilişkin ek yasaklar bulunabilir. Hem kendi yargı bölgenizdeki hem de sağlayıcının yargı bölgesindeki hukuki çerçeveyi anlayın.

AI/ML sistemlerini sınamak, benzersiz hususlar getirir: model çıkarımı, hasımca girdi üretimi ve eğitim verilerine yönelik gizlilik saldırıları. Temel model başka açılardan kapsam dâhilinde olsa bile bu teknikler program kurallarını veya fikri mülkiyet yasalarını ihlal edebilir.

Kişisel etik çerçevesi: (1) Yetkili miyim? (2) Zararı en aza indiriyor muyum? (3) Etkilenen kullanıcı verilerini koruyor muyum? (4) Açıklama normlarına uyuyor muyum? (5) Eylemlerim kamu denetimine dayanır mı? Devam etmeden önce tüm sorulara evet yanıtını verin.

EFF'in Coders Rights Project'i gibi kuruluşlar, iyi niyetli güvenlik araştırmacıları için hukuki savunma kaynakları sağlar. DEF CON'un güvenlik açığı açıklama yönergeleri ile Internet Bug Bounty programı, anlaşılması ve uyulması gereken topluluk standartlarını temsil eder.

Kamuya açıklamadan önce izlenen standart eşgüdümlü güvenlik açığı açıklama (CVD) takvimi nedir?

Etik güvenlik araştırması; açık yetkilendirme, en az düzeyde veri erişimi, hassas bulguların sorumlu biçimde ele alınması ve hem kullanıcı güvenliğine hem de araştırmacı haklarına saygı gösteren eşgüdümlü açıklama gerektirir. CFAA, GDPR ve açıklama normlarını anlamak, araştırmacıları ve kamuoyunu aynı anda korur.