Véleményed szerint, weboldal felkérés nélküli biztonsági tesztelése (haszonszerzés nélkül), etikus és legális?

Hülye kérdés, de a kettőt nem kéne külön választani?
Az, hogy etikailag elfogadható csak azon múlik, hogy az embernek milyen morális értékrendje van, az viszont hogy legális e már jogi kérdés (amit az éppen aktuális jogszabályok alapján kell értelmezni). Erre jön még rá, hogy hiába nem haszonszerzés a cél, ha ezzel valami komoly kárt okoz az ember (' DROP DATABASE --), akkor ott már megint más súlyosságú kérdésről beszélünk (mind jogilag, mind etikailag)
____________________________________
Az embert 2 éven át arra tanítják hogyan álljon meg a 2 lábán, és hogyan beszéljen... Aztán azt mondják neki: -"Ülj le és kuss legyen!"..

A kérdés nyilvánvalóan a BKK-s botrányra utal.
Az, hogy legális vagy nem az a törvényi szabályozáson múlik. Magyarországon sajnos ez sem egyértelmű, a jogalkalmazó belátására van bízva az eldöntése, ami nem jó.
Ha valakinek az a hobbija, hogy biztonsági réseket keres, és ha talál akkor erről értesíti a tulajt, a legnagyobb ostobaság e miatt megbüntetni. Ezzel csak azt érik el, hogy aki jóhiszemű az nem fog keresni hibákat, de attól a hibák még ott vannak, és ha ott vannak, akkor a bűnözők ki is fogják használni, csak ők nem fognak szólni erről a tulajnak. De ezzel szerintem nem mondtam semmi újat.
Visszatérve a BKK-ra, nagyon úgy tűnik nem kimondott biztonsági, hanem inkább orbitális fejlesztői hibák voltak, vannak náluk (vagyis a fejlesztő cégnél). Ami szakmai és büntetőjogi felelősségi kérdéseket vet fel.

Szerintem az is egy erdekes kerdes lehet, hogy miert kene, hogy barki vakon megbizzon egy szolgaltatasban? Persze erre nem feltetlenul az a megoldas, hogy mindenki kenyere-kedvere haxorkodhasson, hogy eldonthesse, hogy a szolgaltatas, amit kinezett maganak hasznalatra megfelelo biztonsagi szinttel rendelkezik-e az adatainak vedelmere.
Nyugatabbra bevett szokas, hogy a cegek feltuntetik a security policy-t, ami ismerteti, hogy a ceg mit tesz meg a szolgaltatas bizontsagaert a belso folyamataik soran. Ez hasznos, mert pl. ha egy alkalmazast szeretnel hasznalni es a policy-ben csak azt latod, hogy van egy tuzfal es egy IPS az alkalmazas elott es ennyi a biztonsag, akkor jo esellyel alternativa utan nezel. (Ugyanis a tuzfal+IPS kombo ugyan nem haszontalan, de nem is ad megfelelo szintu biztonsagot)
A security policy arrol is emlitest tesz (egyebkent el is vart torvenyileg), hogy biztonsagi szempontbol rendszeresen teszteltesse a szolgaltatast kulso, szakerto ceg segitsegevel. Az mar majdhogynem alap, hogy a magukra valamit ado cegeknek folyamatosan futo bug-bounty programja van, ahol meghurcoltatas nelkul lehet jelenteni a feltart serulekenysegeket es ezert meg penzt is kap a bejelento. Masreszt, evi egyszer legalabb egy teljes pentest is meg kell, hogy legyen.
Masreszt, cegek egymas kozott meg komolyabb elvarasokkal rendelkeznek. Mielott egy ceg igenybe vesz egy szolgaltatast, egy halom biztonsagi folyamatokat es kontrollokat illeto kerdest meg kell valaszolni a szolgaltatonak. A valaszok fenyeben dontik el a cegek, hogy melyik szolgaltatoval hajlandoak szerzodest kotni. (Itt a BKK - T-System kozotti folyamatok, vagy nem letezo folyamatok probalematikajara celozgatok)

Ami tortent a BKK/TEK-Systems vs. kissrac eseten: figyelembe veve, hogy nem haszonszerzesbol, hanem kivancsisagbol kovette el, amit elkovetette es a feltart biztonsagi hianyossagot azonnal jelezte a szolgaltatonak teljesen etikus. Hogy legalis-e, vagy sem, az mas kerdes, nem vagyok jogasz. Viszont, meg akkor is, ha nem legalis, figyelembe veve, hogy teljesen jo szandekbol kovette azt el es nem okozott kart a szolgaltatonak, igy semmi keppen sem etikus a buntetes barmi formaja.

Morin
OSCE / SLAE / CEH / ECSA / ABC / NBC / FBI / KGB / NSA / STB

>vélemény
>legalitás

Hajrá hupu reality distortion field!

Hadd kérdezzek valamit;

Van egy megrendelő és egy fejlesztőcég. A megrendelő nem technikai, nyilván ha az lenne, nem kéne a fejlesztőcég.

A szolgáltatás nagy volumenű, mondjuk egy forgalmas webshop.

Szól a megrendelőnek valaki az ügyfszolg e-makl címére, hogy baj van, egy dev flag bennmaradt és le lehet árazni a termékeket az url átirásával.

Miután néhány órán belül nem kap választ (az ügyfszolgra tömegesen ömlenek be épp a levelek, amúgyis 15 nap a vállalt határidő), ezért elküldi az újságnak, hogy kell feltörni a rendszert, aki címlapon lehozza, for the lulz.

A fejlesztőcég erről az újságból (és persze az azonnal telefonálgatni kezdő haveroktól) értesül.

Etikus hackelés történik-e?

Mivel nem az volt a kérdés, hogy törvényileg micsoda, ezért én a "legális, de nem elfogadható"-ra szavaztam.

Legálisnak gondolom, mert senki nem akadályozza meg a delikvenst abban, hogy nekiálljon tesztelni a weboldalamat és ez szerintem így is van jól. Ugyanakkor etikailag nem elfogadható, mert a fene sem akarja, hogy script kiddie-k elkezdjék önkényesen tesztelgetni az oldalamat. Például mi van akkor, ha egy olyan CMS-t futtatok, amire kijön egy zero-day exploit és Balázska úgy gondolja, hogy "hű micsoda poén lenne letesztelni, működik-e". Végül kárt nem okoz vele, töröl minden adatot, amit esetleg így megszerzett, de hogy etikus volt-e ezt önkényesen tesztelnie? Szerintem nem.

btw, a shop.bkk.hu -t lassan lehetne modositani a szop.bkk.hu -ra :)

A próbálkozás szintjétől is függ. Az, ha valaki lát az URL részeként egy felhasználói nevet és kíváncsiságból átírja, vagy a böngésző által visszaküldött inputmezőt megváltoztatja - netán törli a cookie-t, a mai biztonsági követelmények mellett belefér. Etikátlan az a szolgáltató, aki olyan oldalon, ahol pénzek, éles felhasználói adatok vannak, ilyen szintű szarvashibákkal hoz ki egy szolgáltatást. Ez nem más, mint a felhasználói bizalommal való visszaélés.

Legális. Pld. nen tiltja meg senki, hogy a böngésző address bar-ban átírjak pár dolgot az url-ben. Legegyszerűbb gagyi teszt. Vagy azt se, hogy a backendet megkeressem. Semmilyen eyikába nem ütközik. Mégis teszteled hogyan reagál az oldal erre.

Mi lenne, ha mindenki elolvasna legalabb azt a harom paragrafust a BTK-ban, ami kifejezetten a munkajara vonatkozik? (422-424). Abban benne van, hogy biza baromira nem legális, csak nem vagy buntetheto, ha a *hatosagok* részére azonnal tudomasra hozod. Nem, nem az NSA-bak, a hazaiaknak.

----------------
Lvl86 Troll, "hobbifejlesztő" - Think Wishfully™

Én azt gondolom nem ez a morális kérdés, hanem hogy ha talál benne avval mit kezd. Én valahogy úgy képzelem ezt mint az autó bezárását a parkolóban, ha valaki nyitva hagy egy kabriót, akkor kérdés hogy Te belenyúlsz-e az otthagyott tárcáért, vagy sem. Nem tartom sem etikátlannak, sem illegálisnak a tesztelést, mert engem sem büntet meg a rendőr ha véletlenül egy másik fehér autó kilincsét fogom meg figyelmetlenségből. Viszont azért már megbüntet, ha betöröm az ablakot, és kiveszem a rádiósmagnót.

Aki szerint legális, az kezdje már el feltörni mondjuk Orbán Ráhel üzleti érdekeltségéhez kapcsolódó oldalakat, esetleg a mazsihisz.hu-t, meglátjuk milyen gyorsan ér oda a fekete autó. :) Gondolom akár terrorcselekménynek is tekinthető sok helyen, ha valaki belemászik a hadsereg vagy az erőmű vagy bizonyos kormányzati weboldalakba.
Etikailag is függ az érintettektől, hogy elfogadható-e.

Most én döntöm el, hogy legális-e? Nem is tudtam, hogy a magyar demokrácia már itt tart :D (persze, a normális az lenne, hogy a dolgok legalitását az határozza meg, hogy az emberek akarják-e szabályozni)
Én szerintem legyen legális (számomra az információ értéktelen, ha valakinek fontos, úgyis van róla mentése), de nem etikus, mert semmi köze hozzá.
Egy weboldalt nem azért hoznak létre, hogy széthákolják, játékból, stb.-ből. Ez az én szememben online graffiti, akkor is, ha nem hagy nyomot maga után, egyszerűen nincs ott semmi keresnivalója.

Itt elidőznék a biztonsági tesztelés meghatározásánál.

Az, ha van egy olyan bug, ami ránézésre bűzlik, pl. hogy hogy jelszó resetnél visszajön a plain text, vagy akár egy F&szfej_ID jellegű hibára való figyelemfelkeltés, szerintem még nem a biztonsági tesztelés kategóriája. A paraméter átírás lehetőségét sem sorolnám ide, de gondoljunk bele, akkor hova soroljuk az SQL injection kísérleteket? Hiszen ez is paraméter átírás. Pedig szerintem egyetértünk abban, hogy az SQL injection már erősen nem etikus.

A határ elég keskeny, én ha törvény alkotó lennék, gondot okozna a pontos megfogalmazás.