МОО ВПП ЮНЕСКО «Информация для всех» и информационно-аналитический портал SecurityLab завершили проведение опроса «Хакеры: где граница между подвижничеством и преступлением?» В опросе приняли участие 1.354 пользователей Рунета, выразивших свое мнение относительно допустимых границ исследования уязвимости информационных систем (ИС) — программного обеспечения, веб-сайтов, сетей передачи данных и т.д.
Опрос проводился в рамках исследовательского проекта «Право и общество в цифровую эпоху», целью которого является поиск справедливого компромисса между интересами общества, бизнеса и государства в области обеспечения гражданских прав и соблюдения принципа верховенства права при использовании плодов информационно-коммуникационных технологий (ИКТ).
Большая часть респондентов придерживается умеренной позиции «ответственного разглашения» (responsible disclosure) в рамках которой исследователь должен уведомить производителя об обнаруженной уязвимости и может опубликовать информацию о ней лишь в двух случаях: после успешного устранения уязвимости или отсутствия реакции со стороны производителя. Этот подход является общепризнанной мировой практикой и применяется такими известными компаниями, занимающимися поиском уязвимостей, как ISS, EEYE, Positive Technologies и т.д.
Неприятным, но вполне предсказуемым является тот факт, что 10% опрошенных считают возможным опубликовать информацию о найденной уязвимости в отместку за отсутствие вознаграждения или благодарности со стороны производителя уязвимой ИС, а 18% предпочли бы не никому не сообщать об обнаруженной уязвимости и использовать ее в своих интересах или продать сведения о ней любому заинтересованному лицу.
По мнению эксперта Positive Technologies Сергея Гордейчика, «Здесь уместно вспомнить положение одной из первых политик разглашения — RFPolicy: денежная компенсация [за сообщение о найденной уязвимости] или действия, которые могут быть истолкованы как вымогательство, категорически не одобряются (monetary compensation, or any situation that could be misconstrued as extortion, is highly discouraged). В то же время существует ряд компаний, которые открыто скупают информацию о найденных уязвимостях и выступают в качестве посредника между исследователями уязвимостей и производителями уязвимых ИС».
Практически никто из опрошенных не высказался за необходимость запрета на поиск уязвимостей и разглашение сведений о них. За полный запрет высказались лишь 1,6% респондентов, за запрет поиска уязвимостей в «неблаговидных целях» — 15%. Большая часть опрошенных — почти 75% — считает, что данный вид деятельности должен быть разрешен вне зависимости от целей поиска уязвимостей.
«Попытка запретить поиск уязвимостей, скорее всего, приведет к появлению очередной мертворожденной нормы», — считает Гордейчик, — «а искусственное ограничение рамок разглашения — к активизации черного рынка и непрозрачности реальной ситуации с качеством программных продуктов».
Достаточно ожидаемо распределение точек зрения между представителями различных групп опрошенных. Разработчики больше тяготеют к ограничению разглашения информации об уязвимостях или снижению объема публикуемых технических деталей, что объяснимо: мало кому приятно публичное обсуждение недостатков его работы.
Однако концепция «полного разглашения» (full-disclosure) родилась не на пустом месте. Отсутствие технических деталей в публичном сообщении о найденной уязвимости (за которое высказалось 17% опрошенных) ранее являлось сдерживающим фактором, но сегодня теряет свою эффективность (как и любой метод security by obscurity) в связи с отработкой техники восстановления уязвимости по программной «заплатке». Иногда подобная «лаконичность» может приводить к неожиданным последствиям таким, как обнаружение серии уязвимостей в службе RPC ОС семейства Windows NT в 2003 году или недавнем комичном случае, связанным с непредумышленной публикацией DoS-экслойта для службы SMB ОС семейства Windows.
«Большинство опрошенных проводят четкий водораздел между хакерами-исследователями и сетевыми вандалами», — отметил эксперт МОО ВПП ЮНЕСКО «Информация для всех» Евгений Альтовский, — «Граница между ними проходит не по тому, на что готовы пойти одни, и не готовы другие, а по мотивам этих поступков — большинство считает неприемлемым поиск уязвимостей в злонамеренных целях. Интересно также, что опрошенные считают значительно более действенным средством борьбы с сетевыми вандалами повышение уровня знаний пользователей и администраторов ИС, чем ужесточение ответственности за эксплуатацию уязвимостей, и с этим мнением трудно не согласиться».
