Számítógépes bűnözés vagy legitim kutatás?

Az egyik kutató belépett a Windowsba, hibát fedez fel (és egy javítást), és 100 000 dollárt kap a Microsoft-tól. Egy másik állítólagos hackelés elleni büntetőeljárás fenyeget, megbukik és elveszi a saját életét. A Black Hat 2014 konferencián egy csillaggal foglalkozó testület megvitatta a kutatók által hozott nehéz döntéseket, valamint a felbukkanó legális aknákat.

Marcia Hofmann, az Electronic Frontier Foundation egyszeri idősebb ügyvédje jelenleg egy butikjogi gyakorlatot irányít, amelynek középpontjában a számítógépes bűnözés és a biztonság, valamint a kapcsolódó témák vannak. Kevin Bankston, az EHA egyszeri vezető ügyvédje, az Új Amerika Alapítvány Nyílt Technológiai Intézetének politikai igazgatója, egy olyan csoportnak, amely "nyílt kommunikációs hálózatok, platformok és technológiák" elkötelezettségével foglalkozik, az internetes megfigyelés és cenzúra." A testület vezetésében Trey Ford, a Rapid7 globális biztonsági stratégiája és a Black Hat volt vezérigazgatója volt.

A testület öt jelentős törvényes taposó akna áttekintésével kezdte meg a vizsgálatot, amelyek halálos bajban tudnák a kutatókat. Elismerték, hogy a bemutató ez a része kissé száraznak tűnhet, ám arra ösztönözték a résztvevőket, hogy tartsák magukkal a teljes, nyílt vitát.

A számítógépes csalásokról és visszaélésekről szóló törvény

"A CFAA a nyolcvanas évek közepétől, máskori törvény, " mondta Hoffman. "A legnagyobb tiltása egyszerűnek tűnik. Tilos illegálisan számítógéphez való hozzáférés engedély nélkül, vagy az információk megszerzése érdekében meghaladja a meglévő engedélyeket. De ez nem határozza meg az engedélyt. A bíróságok küzdenek ezzel. Mi teszi a hozzáférést jogosulatlannak? ? Használja a tech eszközöket olyan módon való hozzáféréshez, amelyet a tulajdonos nem számított előre?"

Hoffman kifejtette, hogy az első jogsértés egy szabálysértés, amely esetleg akár egy év börtönbe kerül. Számos körülmény azonban bűncselekményt eredményezhet bűncselekményként, köztük profitálási szándék, 5000 dollárnál többet megszerzett információ és "újabb jogellenes cselekedet elősegítése". Aaron Swartz bűnbánatra pillantott, mivel a kormány szerint a hozzáférhető tudományos cikkek több mint 5000 dollárba kerültek.

Itt nem áll meg. "A polgári ügyekben pénzbeli károkat lehet beperelni" - jegyezte meg Hoffman. "A bírák másként tekintik a polgári ügyekre, mégis ezek az ügyek precedenssé válhatnak egy büntetőügyben." Elmondta, hogy egy magánpartner perelhet, ha 5000 dollár veszteséget mutat. "Egy társaság pert indíthat azért, hogy elmondta nekik a sebezhetőséget" - folytatta. "A kármentesítés költségeit monetáris veszteségnek hívhatják."

A digitális millenniumi szerzői jogi törvény

"A DMCA a CFAA unokatestvére" - mondta Bankston. "Alapvető tilalma az, hogy senki sem szabad kijátszania a szerzői jog által védett művek védelmét. Ez különbözik a szerzői jogok megsértésétől. Ha kijátszod a védelmet, akkor is, ha nem teszel többet, bűnös vagy."

"A DMCA félelmetes, még szigorúbb büntetésekkel" - magyarázta Hoffman. "Az áldozatok per indíthatnak büntetőeljárást (azaz el kell állítania azt, amit csinálsz), a tényleges pénzügyi kártérítést vagy a törvényben előírt kártérítést. Minden jogsértésért 200 és 2500 dollár között kell fizetnie, a bíró belátása szerint. megsértése vagy pénzügyi haszonszerzés céljából akár félmillió pénzbírságot szabhat ki, és öt év börtönbüntetést tölthet fel, és megismételheti a megsértés ismételt összegét. A könyvet valóban rád dobhatja."

Az elektronikus kommunikáció adatvédelmi törvénye

"Az ECPA 1986-tól származik, és ez nagyon fontos" - mondta Bankston. "Az ACLU a polgárok magánéletének védelmére használja. De elég széles és homályos ahhoz, hogy a kutatók számára gondot okozjon. Három akna egyben." Folytatta a vezetékes lehallgatás, a tárolt kommunikáció és a "toll regisztráló" összetevők részleteit. A harmadik, a „toll regisztráció” a hívott számok vagy a hívó számok összegyűjtésére vonatkozik. "Az Igazságügyi Minisztérium saját kézikönyve megjegyzi, hogy valaki telefonjának követése sértheti ezt a törvényt" - mondta Bankston -, tehát politikájuk az, hogy parancsot szerezzenek."

- A huzalgomb van a nagy - folytatta. "Lehet, hogy bűncselekmény, de polgári peres eljárás tárgyát képezi mind a tényleges, mind a törvényben előírt károkért. Naponta 100 dollár bírságot szabhat ki az érintett személyre, vagy személyenként 10 000 dollár bírságot szabhat ki, amelyik nagyobb. Ne feledje, amikor Batman bekapcsolta a Mikrofonok a Gotham City összes mobiltelefonján? Lehet, hogy még Bruce Wayne sem lesz képes fizetni milliárd dolláros pénzbírságot."

Játszunk egy játékot?

A nyilvánvalóan száraz jogi részletek áttekintése után a testület játék show formátumra váltott. Nem igazán! A képernyőn vetített nagy rács volt, amely felsorolta a biztonsági esemény számos lehetséges összetevőjét: a színészt, a tevékenységet, a célt, a motívumot és a helyettesítő kártyát. Ez az utolsó kategória olyan tételeket tartalmazott, mint "az áldozatnak nincs pénzbeli kártérítése" és "hackeresnek néz ki!"

Véletlen számokkal választva az egyes kategóriákból az elemeket, szcenáriókat készítettek. Például: "egy tudományos biztonsági kutató biztonsági kutatás céljából hozzáfér a jelenlegi munkáltatójának e-mailjéhez pénzbeli haszon nélkül". Jogos kutatás vagy bűncselekmény? A testület tagjai felkérték a közönséget, hogy mérlegeljék, hogy melyik szobrokat sértették meg, és milyen következményekkel járhat. Milyen nagyszerű módja annak, hogy életre keltse ezeket az alapszabályokat! A közönség határozottan el volt vonulva.

Hogyan tudjuk ezt megjavítani?

Nyilvánvalónak tűnik, hogy a biztonsági kutatók sok akciója bajba hozhatja őket. Hogyan tudjuk rögzíteni a törvényeket? "A vállalatok megtehetnek olyan dolgokat, amelyek csökkentik a hideget" - mondta Hoffman. "A Microsoftnak, a Google-nak és másoknak amnesztió programja van. Tudni akarnak a sebezhetőségekről, így dolgoznak annak érdekében, hogy enyhítsék a törvény agresszív olvasmányaival kapcsolatos aggodalmakat."

Rámutatott az Aaron törvényére, amely a kaliforniai képviselő, Zoe Lofgren által bevezetett CFAA módosítási javaslat. "Az Aaron törvénye javítaná a CFAA-t, ha világossá tenné, mit jelent az illetéktelen hozzáférés." "Az Aaron törvénye kiküszöböli a kettős és négyszeres terhelést, amely a jelenlegi CFAA szerint történhet" - jegyezte meg Bankston. "De többet lehet tenni. Ahogyan a rosszhiszeműségért bűncselekményt javítunk, talán hozzáadhatnánk a jóhiszeműen dolgozó kutatók javításának megszüntetését. Lehet, hogy törvényben előírt kártérítéseket levonunk az asztalról."

A résztvevők sokkal jobb elképzeléssel hagyták el az ülést, hogy mi jelenleg illegális, és hogyan kell megváltoztatni a törvényt. És azon gondolkoztam, hány a Black Hat műsorvezetője technikailag bűnöző, csak az általuk bemutatott kutatás miatt?