"Etyczni hakerzy" balansują na granicy prawa
Funkcjonujące od lat pojęcie etycznego hakingu mobilizuje coraz większą grupę pasjonatów do zgłębiania tajników informatyki. Naukowcy zajmujący się bezpieczeństwem sieciowym gremialnie nawołują tymczasem do opracowania jasnych zasad dobrego hakingu - tak, aby uniknąć nieprzyjemnych spotkań z prokuratorem. Okazuje się bowiem, szczególnie z punktu widzenia laika, że odróżnienie działań etycznego informatyka od jego "złego" hakera bywa niezmiernie trudne.
Teoria, choć brzmi przekonywająco, rozbija się o rzeczywiste problemy. Jak w każdej walce zła z dobrem, to ostatnie musi trzymać się pewnych zasad, co często stawia ja na gorszej pozycji. Podobnie jest z etycznymi hakerami - przekonywali uczestnicy ubiegłotygodniowej konferencji Usenix (Boston, USA).
Każde działanie etycznego hakera, aby było skuteczne, musi być celne i szybkie. Podążanie za śladami włamań oznaczające w praktyce skanowanie sieci i komputerów osobistych w wielu przypadkach naraża "dobrego" hakera na poważne konsekwencje prawne. Dave Dittrich, starszy specjalista ds. bezpieczeństwa sieciowego i naukowiec na Uniwersytecie w Waszyngtonie, przedstawił swoją historię, która o mały włos nie zaprowadziła go przed oblicze Temidy.
Podczas swej wieloletniej pracy Dittrich próbował na wszelkie sposoby niwelować działania internetowych włamywaczy. Jednym z nich była próba przerwania ataków DDoS (Distributed Denial of Service). Po zlokalizowaniu jednego z kanadyjskich serwerów, na którym przechowywano złośliwe kody oraz logi z numerami IP komputerów "zombie", Dittrich włamał się do niego i ściągnął wszystkie dane. Według prawa postąpił nielegalnie, co zostałoby szybko ujawnione, ponieważ ekspert chciał poinformować wszystkich użytkowników przejętych komputerów, że ich maszyny są w rękach hakerów.
Dittrich przekonał jednak władze, że działał w dobrej sprawie i wszystko skończyło się dla niego pozytywnie. Ściągnięte dane dostarczyły mu także potężną dawkę wiedzy na temat działania złośliwych kodów. Nie zmienia to faktu, że jeśli chciałby postąpić zgodnie z prawem, to zbieranie wszystkich potrzebnych pozwoleń, według jego szacunków, zajęłoby ponad rok.
"W sytuacji, gdy ataki sieciowe przeprowadzane są bez przerwy, a nie do końca wiemy, jak one przebiegają, czas jest krytyczny. Wszyscy staramy się postępować słusznie, w zgodzie z własnym sumieniem i prawidłowo pojmowanym dobrem. Mamy swój kodeks etyczny i wierzę, że to on kieruje naszym postępowaniem." - przekonywał zebranych na Usenix Dave Dittrich.
W podobnym tonie wypowiedział się Jose Nazario z Arbor Networks, który w ostatnim czasie prowadził intensywne badania nad zagrożeniami ze strony sławnego "robaka" Conficker. "Obecnie jesteśmy zdani na łaskę prokuratorów, balansując często na granicy prawa." - dodał Nazario.
Aby wspomóc pracę etycznych hakerów, również w aspekcie prawnym, Vern Paxson, naukowiec z ICSI (International Computer Science Institute), zaproponował, aby stworzyć jednolity zapis kodeksu ściśle określającego pojęcie etyki w działaniach "dobrych" hakerów. Paxson powołał się na przykład Thorstena Holza, doktoranta na Uniwersytecie w Mannheim (Niemcy), który podczas swojej pracy naukowej zebrał ponad 33 GB wrażliwych danych od ok. 170 tys. użytkowników Sieci (śledził sieć botnetów, w których używano "keyloggerów").
Mimo, iż była to praca stricte uniwersytecka powstało pytanie (prawne i etyczne), co zrobić z posiadanymi informacjami. Dyskutowano z policją, prawnikami, naukowcami nad sposobem przekazania tej wiedzy ofiarom działań hakerów - z jednej strony samo poinformowanie ich byłoby rozsądnym rozwiązaniem, ale niewiele osób umiałoby sobie poradzić z likwidacją złośliwego oprogramowania, z drugiej zaś ingerencja w specjalistów w sieć pokrzywdzonych mogłaby narazić ich na problemy prawne oraz moralne dylematy.
Opracowanie jednolitego kodeksu norm etycznych dla "dobrych hakerów" wydaje się być koniecznością. Obecny na konferencji sędzia Aaron Burstein przestrzegł jednak, że żaden zapis nie ustrzeże specjalistów ds. bezpieczeństwa przed odpowiedzialnością karną za działania niezgodne z prawem. Kwestia jest trudna do rozwiązania, tym bardziej, że jak przekonywali uczestnicy Usenix "typowy policjant ma niewielką wiedzą na temat sieciowych zagrożeń."
Komentarze (13)
Poziom zabezpieczeń systemów operacyjnych z rodziny Windows jest fatalny, i dla tego urzywam linuxa do korzystania z internetu. I tak będzie, dopuki Microsoft nie zmieni swojej polityki bezpieczeństwa.
to jest bardzo ciężka sprawa i temat do wielu dyskusji. Ok internet powinien być wolny a ludzie niech się sami zabezpieczaja - zgadzam się tylko co w sytuacji gdy ludzie nie mają dostatecznej wiedzy żeby się zabezpieczyć..? może obowiązkowe kursy jak na prawo jezdy żeby czegoś używac publicznie to musisz mieć licencje? Z drugiej strony nie wyobrazam sobie wolnego internetu i wolności słowa z policyjnym internetem i cenzurą, to juz jest calkowicie bez sensu - niech ludzie korzystają z kontroli rodzicielskich i innych rzeczy, ale do tego także potrzebna jest wiedza i co teraz? ogólnie ciekawy artykuł, rozgorzała potężna dyskusja z moimi znajomymi, jakies 3 gdziny gadamy już przez gg - ja w przeglądarce Ciekawe komentarze głosicie - pozdrawiam komentarz edytowany przez moderatora
najgorsze są te prowokacje o których się słyszy Amerykanom ukradziono plany najnowocześniejszego myśliwca wojskowego Wirus zaatakował(oczywiście w stanach) szpitale i sprzęt medyczny. takich bzdur będzie więcej. To wszystko robione jest po to aby uzyskać zgodę społeczeństwa na wprowadzenie całkowitej kontroli internetu. Mnie te prowokacje nie ruszają ale obawiam się że jest wielu ludzi (w stanach), którzy gotowi są się poddać wzmożonej inwigilacji aby tylko Chiny i Rosja nie zdobyły "najlepszego amerykańskiego myśliwca" :(
@Thor Idąc w kierunku bezpiecznego internetu czyli w sumie "policyjnego internetu" niby to dla dobra użytkowników wchodzimy na własne pole minowe. To jakby chcieć zabrać ludziom noże kuchene, bo mogą się skaleczyć lub kogoś nawet zabić nie chcąc, całkiem przypadkowo. To jak zabrać auta bo można przecież łatwo nim kogoś zabić. I tak dalej. Wolność jednego człowieka kończy się tam, gdzie zaczyna innego. Zawsze jest ryzyko, że z braku wiedzy lub całkiem przypadkowo komuś a nawet sobie zaszkodzimy, takie jest życie. Z resztą zawsze na świecie byli, są i będą ludzie, którzy świadomie szkodzą innym, tak jak złodzieje czy mordercy, tego łatwo nie zmienimy. Nawet prawo tego nie zmieni.
sp00fz co do pierwszej części zgadzam się, że należy stosować wydajne zabezpieczenia, ale filtrowanie to pierwszy krok do cenzury i ograniczania dostępu do treści... Moim zdaniem filtrowanie (jeśli już będzie) powinno odbywać się poprzez dostawce usług internetowych i to na wyraźną prośbę użytkownika, najlepiej przy podpisywaniu umowy (wtedy powinno się wybrać czy chce się ochrony i blokady portów czy nie - i nie powinno to mieć żadnego wpływu na koszt usług)... Ja na przykład wolałbym używać internetu bez filtrowania... Wole sobie sam radzić, nie lubię gdy wyręczają mnie automaty do tego jeszcze nie sterowane przeze mnie... Wole mieć nad wszystkim kontrole... Ale to tylko moje zdanie...
dla mnie sprawa jest prosta, trzeba implementowac na routerach zabezpieczenia podobne do tych, ktore sa na dobrze zabezpieczonej stacji, tak, aby w kazdym punkcie styku stacji roboczych z netem (LAN<->WAN) odcinalo caly syf (wlacznie ze spamem) mysle ze przy wydajnosci wspolczesnych systemow jest to do zrealizowania. wiekszosc malware i botnetow przeciez obejmuje stacje koncowe, nie serwery sieciowe. wiec trzeba ten ruch filtrowac wedlug znanych metod plus heurestyka i tyle
Nie chodzi mi o koszty materialne... Chodzi mi o to, żeby taki typowy użytkownik nie musiał odczuwać tych zabezpieczeń na własnej skórze (jak np. w przypadku DRM) Jeszcze raz powtarzam, że osobiście uważam, że należy zabezpieczać się, ale bez przesady... (który użytkownik korzystałby z serwisu, w którym na każdej stronie trzeba byłoby wpisywać conajmniej 24-znakowe hasło?) Zabezpieczajcie się, ale nie próbujcie ograniczać praw użytkowników internetu... Nie cenzurujcie niczego... To zła droga... (według mnie)
Słowo haker oznacza w języku prawniczym przestępce internetowym, a korzystanie z internetu w świetle naszego prawa jest nie legalna. Lepszym określeniem, choć trochę za długim jest specjalista od zabezpieczeń informatycznych. Jak mam poznać praktyczne metody działania przestępców internetowych, kiedy sama próba włamania na jakiś serwer może się skończyć problemami z organami ścigania? I nie ważne są dla mnie informacje, ale metody, jakich przestępcy używają do włamań
Czego trzeba nauczyć się by być hakerem? Zgaduje, że język programowania np. C++, angielski, znajomość systemów unix. Coś jeszcze?
Ech... Pająk, niestety większość administratorów ma do sprawy takie podejście takie jak ty: "Bezpieczeństwo? Spoko, byle by nic nie kosztowało"... Efekt? Żałosny... Na 15% procent stron jestem w stanie w ciągu pięciu minut znaleźć poważne błędy, zwykle pozwalające na przejęcie kontroli nad stroną... A jeśli mi będzie zależało, to na dużo większej ilości stron znajdę błąd. A warto dodać, że moja wiedza nie jest zbyt wielka... Jest mnóstwo osób, które umieją dużo, dużo więcej ode mnie. Z jaką im łatwością przyjdzie to znajdowanie błędów? ...
Rozumiem... Może się źle wyraziłem i mnie źle mnie zrozumiałeś... Jestem za tym, żeby firmy się zabezpieczały, ale NIE kosztem innych użytkowników sieci... Osobiście sam wolałbym korzystać z witryny na zabezpieczonym serwerze, bo wtedy, jak sam napisałeś, będe bezpieczny... Jednak, gdyby to bezpieczeństwo było kosztem jakiejś funkcjonalności lub dostępności do czegoś, podziękowałbym za nie...
@Pajak nie rozumiesz jednej rzeczy - takie niezabezpieczone komputery sa grozne dla innych uzytkownikow sieci, a w szczegolnosci dla serwerow firmowych zawierajacych dane poufne, gdyz taki niezabezpieczony komp moze byc wykorzystany do wlamu albo ataku DDoS...
Według mnie internet powinien być wolny, a jak ktoś się nie potrafi zabezpieczyć to jego sprawa... Nie powinno się nikomu odcinać internetu i cenzurować stron... Internet do niedawna był symbolem wolności ale jak teraz patrze to wydaje mi się że niedługo to będzie może nawet tak, że mając internet, będziemy mogli wchodzić tylko na strone dostawcy internetu... Żal...
- Kingston: Nowa linia dysków SSD
- Microsoft zapowiada nowy system plików - ReFS
- Intel: SSD 520 - nowa linia szybkich dysków
- Praktyczne porady dla administratorów na 2012 rok
- Co powinien wiedzieć każdy specjalista IT?
- Narzędzia dla administratorów sieci
- Windows Intune 3.0 - szansa na perfekcyjne narzędzie?
- Kontrowersyjne decyzje Oracle odnośnie Javy
- Testy penetracyjne pomogą w obronie przed cyberatakami
- 2012 - rok przełomowy dla internetu?
Polecane
Przełomowy rok... znowu
Lektura firmowych informacji prasowych i prognoz firm analitycznych nie pozostawia wątpliwości - każdego roku...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...