Сохраняй посты, комментируй и ставь оценки
Пожалуйста, зарегистрируйтесь или авторизуйтесь для просмотра содержимого данного поста.
Замечательная история из Германии. Немецкий суд приговорил программиста к штрафу 3000 евро за "несанкционированный доступ к сторонним компьютерным системам", а на деле - за найденную уязвимость.
Некий фрилансер получил подряд на проверку установленного у клиента ПО компании Modern Solution GmbH & Co. KG, которое, судя по тексту журналистов, генерило ложные сообщения логов. В ходе проверки выяснилось, что оно устанавливает MySQL соединение с головным сервером с использованием пароля, который бы записан в исполняемом файле в виде plaintext. При тестовом подключении оказалось, что кроме данных самого заказчика, доступны также данные еще 700 тысяч клиентов. Программист сообщил об этом в компанию Modern Solutions. Однако последние, вместо того, чтобы отблагодарить за найденную дырку, отрубили сервер, заявили, что у них все норм, а потом подали на исследователя заявление в полицию.
Прокуратура и адвокаты долго спорили о том, получен ли был пароль в ходе декомпиляции исполняемого файла. И, хотя защита была более убедительна, в конечном итоге судье все это было похеру. Он сказал, что уже само использование пароля - это хакерство. На тот факт, что пароль был получен вместе с законно купленным экземпляром ПО, судья так же наклал.
Теперь обе стороны обжалуют приговор в вышестоящем суде. Защита считает, что программист не виноват, прокуратура - что маленький штраф дали, надо больше.
Мудаков в этой истории много. Это и компания Modern Solution GmbH & Co. KG, и полиция, и прокуратура, и, конечно же, король всех мудаков - судья окружного суда Юлиха.
Не в первый раз этот подход уже наблюдаем, весной прошлого года аналогичный случай был на Мальте. То есть подобная правоприменительная практика расширяется.
К чему это приведет - понять не сложно. Нашедшие уязвимости исследователи будут лишний раз помалкивать, а то и сольют данные брокерам 0-day или просто анонимно выкинут в даркнет. И страдать от этого будут все. Не только мудаки.
Группа депутатов от партийного проекта «Цифровая Россия» представила в Госдуме законопроект о легализации работы «белых хакеров», специалистов по информационной безопасности, сообщил генеральный директор компании Innostage по кибербезопасности Айдар Гузаиров.
Предложенный законопроект предоставляет «белым хакерам» право на анализ сетевых уязвимостей без предварительного разрешения правообладателей программ в любой форме. Однако они обязаны будут информировать правообладателей об обнаруженных уязвимостях в течение пяти рабочих дней после их выявления, за исключением случаев, когда связаться с владельцем интеллектуальной собственности будет невозможно по различным причинам.
Гузаиров подчеркнул, что возможные противодействия этому законопроекту связаны с опасениями в увеличении киберпреступности. Он отметил необходимость детальной проработки всех аспектов работы специалистов по информационной безопасности и установления четких требований к ним. В противном случае, существует риск утечек корпоративной информации и данных об обнаруженных уязвимостях.
Эксперт подчеркнул важность разработки нормативных актов с критериями отбора хакеров, готовых принять участие в испытаниях сетевой инфраструктуры компаний. Это поможет предприятиям избежать сотрудничества с недобросовестными исполнителями.
Согласно Гузаирову, внедрение открытых кибериспытаний инфраструктуры компаний поможет снизить интерес со стороны «черных хакеров», обеспечивая использование реальных специалистов в рамках законодательной базы.
Комментарии