Vsebina
- Kaj je etično hekanje?
- Etično hekanje in pravo - študija primera
- Je etično hekanje res etično?
- Ali etično hekanje potrebuje pravno zaščito?
- Brez napak, brez stresa - vaš korak za korakom vodnik za ustvarjanje programske opreme, ki spreminja življenje, ne da bi vam uničila življenje
- Zaključek
Vir: Devonyu / iStockphoto
Odvzem:
Etični hekerji lahko pomagajo preprečiti izkoriščanje zlonamernih hekerjev, zakaj je pravna zaščita zanje tako pomembna?
Etični hekerji prinašajo vrednost organizacijam z iskanjem varnostnih vrzeli, preden jih najde nekdo z zlonamernimi nameni. Zdi se mi le naravno, da bi jih gledali s spoštovanjem. Vendar stvari niso tako preproste, kot se zdijo. Etični hekerji so lahko predmet pravnih dejanj, tudi če vlomijo sisteme z dobrimi nameni.
Etično hekanje se šteje za sprejemljivo, če ga prosijo organizacije. Toda niti takrat tovrstno hekanje ni imun na pravni postopek. Najbolj negotov je položaj tistih hekerjev, ki vdrejo v sisteme neželeno, a z dobrimi nameni. Zakoni, ki urejajo etično krampanje, so trenutno neustrezni in nejasni. Vprašanje pravne zaščite etičnih hekerjev se mora resno osredotočiti. Določiti je treba obseg dela in druge zakonske določbe.
Kaj je etično hekanje?
Tako imenovano etično hekerstvo je praksa vdorov v sisteme z namenom najti varnostne težave, vendar brez zlonamernih namenov. Etični hekerji lastnike ali deležnike v sistemu obveščajo o svojih ugotovitvah. Etični hekerji lahko opravljajo svoje delo bodisi naprošano bodisi nezaželeno. Organizacije uradno zaprosijo hekerje za testiranje svojih sistemov, dogovor, ki je znan kot penetrativno testiranje. Hekerji testirajo sisteme in na koncu opravila ponavadi predložijo poročilo. Neželeni hekerji po drugi strani testirajo sisteme iz različnih razlogov. Zahtevani hekerji so za hekerje potencialno manj nevarni kot nezaželeni, predvsem zato, ker neželeni hekerji nimajo uradne odobritve. (Več o pozitivni strani vdora v 5 razlogov, za katere bi morali biti zahvalni hekerjem.)
Etično hekanje je koristna in preventivna praksa in ga pogosto nagovarjamo. Vendar lahko etično hekanje še vedno povzroča veliko različnih težav. Takšni hekerji lahko na primer še vedno dopustijo, da se zlonamerna namera v neki fazi prevzame, pomanjkanje pravnih dogovorov pa lahko privede do nereda.
Etično hekanje in pravo - študija primera
Zdi se, da bi bilo etično hekanje na videz praksa z dobrimi nameni, ki naj bi povabila le pohvalo in hvaležnost - to ni bilo vedno tako. Leta 2013 se je poslanec (nizozemski poslanec) na Nizozemskem spopadel s pravnimi dejanji zaradi opozarjanja na varnostno napako na spletni strani zdravstvenega centra. Poslanec se je vpisal na spletno mesto zdravstvenega doma z javno dostopnimi poverilnicami in se odločil za resno varnostno težavo. Ko je poslanec javno objavil svoje ugotovitve, ga je medicinski center obtožil sodnih obtožb. Incident je odprl veliko različnih vprašanj o etičnem hekanju. Poslanec ni bil profesionalni heker - daleč od tega ni bil niti računalniško zasvojen. Do spletne strani je dostopal s poverilnicami, ki so na voljo na internetu, in nenamerno pridobil dostop do zaupnih zapisov. Da je medicinski center spoznal svoje ugotovitve, je moral skozi birokratski postopek. Ker je ocenil nujnost razmer, je novico razkril prek medijev. Zdi se nam hkrati smešno in nehvaležno, da se je medicinski center namesto da bi priznal svoj prispevek in se mu zahvalil, ker je poudaril varnostno napako, odločil za pregon. Očitno obstaja veliko vprašanj o etičnem hekanju, ki jih je treba rešiti. (Več o hekerju najdete v razdelku Ljubezen do hekerjev.)
Je etično hekanje res etično?
Navsezadnje je etično hekanje etično dejanje, ki koristi organizacijam. Obstaja veliko hekerjev, ki so nagovarjali ali niso zahtevali, da so v sistemih našli pomanjkljivosti v varnosti, preden jih najde kdo drug s slabimi nameni. V večini organizacij v različnih stopnjah etično hekerstvo izvajajo interno ali z najemom specializiranih hekerjev. Vendar je varnost programske opreme obsežno in zapleteno področje, notranje testiranje pa ne more vedno odkriti vseh pomanjkljivosti, zlasti v primeru velikih in zapletenih aplikacij, ki ravnajo z občutljivimi podatki, kot so finančni ali obrambni podatki. V takšnih primerih potrebujete specializirane hekerje, da najdete varnostne pomanjkljivosti. Po tem je heker tisti, ki določa, kako etično bo taksni napad. Če želite razumeti to točko, upoštevajte naslednja vprašanja:
- Kaj, če etični heker med hekerskim delom izvaja neetična dejanja? Kaj na primer, če bi poslanec na Nizozemskem prodal zaupne podatke, namesto da bi opozoril na varnostno napako?
- Zahtevani heker lahko preseže obseg dela in se vdre v oddelke programske opreme, ki po dogovoru niso dovoljeni.
Zgornji scenariji niso zunaj možnosti in nam nudijo močne razloge za izvajanje močnega pravnega okvira, ki ureja etično krampanje.
Ali etično hekanje potrebuje pravno zaščito?
Ni dvoma, da je etično hekanje koristno za organizacije. Namesto da bi zagotovili pravno zaščito etičnim hekerjem, je treba sprejeti osredotočene zakone, ki določajo obseg dela, vloge in odgovornosti obeh strani. Zakoni bi morali obravnavati naslednja vprašanja:
Brez napak, brez stresa - vaš korak za korakom vodnik za ustvarjanje programske opreme, ki spreminja življenje, ne da bi vam uničila življenje
Ne morete izboljšati svojih programskih veščin, kadar nikogar ne skrbi za kakovost programske opreme.
- Opredelitev etičnega hekanje
- Ali bi bilo treba etično krampljanje storiti le, ko ga uradno zaprosite? Kljub temu bo veliko priložnosti za nezaželeno krampanje. Kako si bo ogledal nezaželeno kramljanje?
- Le formalni in podrobni dogovori med hekerjem in organizacijo se bodo obravnavali kot zahtevni hekerji. Sporazum mora vsebino izhajati iz širšega pravnega okvira.
- Čas je kritičen dejavnik pri odpravljanju varnostnih napak. Ko se odkrije varnostna napaka, bo morda treba takoj odpraviti, da prepreči nepooblaščene kršitve. Ali bo vsaka organizacija olajšala hitro sprejetje opisa vprašanja in potrebne ukrepe? Birokratski postopki lahko odložijo ukrepanje in pustijo odprtino za nepooblaščene hekerje brez naslova. Ali bodo nezaželeni hekerji kaznovani, če bodo zaobšli birokratske postopke in uporabili druge informacijske poti, kot je poslanec na Nizozemskem?
- Pravni dogovor med hekerjem in organizacijo bi moral jasno navajati etično področje zaposlitve hekerjev.
- Opredelitev odškodnine in nagrade za zahtevane hekerje
- Kako se lotite težave, če neželeni heker zlorabi varnostno napako?
Zaključek
Če se pravilno uporablja, etično hekanje ima velik pozitiven potencial. Verjetno je eden največjih izzivov, s katerimi se srečuje, subjektivna interpretacija. Zato je treba imeti objektiven, celovit in kategoričen pravni okvir. Okvir bi moral imeti ravnotežje med neomejenimi pristojnostmi hekerjev in organizacij. Preveč energije je lahko katastrofalno, saj lahko povzroči pustoš s sistemi ali z zaupanjem ali nameni hekerjev. Obenem lahko etična hekerska skupnost poleg pravnega okvira razmišlja tudi o uveljavljanju samodejnega kodeksa ravnanja.