Акция

Миграция с других систем

Скидка на систему «ДЕЛО» при миграции с других решений.

Получите демоверсию и консультацию

+7(495) 221-24-31
или

Узнайте стоимость


Вернуться к списку

Хакеры или сетевые вандалы: разница в мотивации.

 

ОО ВПП ЮНЕСКО Информация для всех и информационно-аналитический портал SecurityLab завершили проведение опроса Хакеры: где граница между подвижничеством и преступлением? В опросе приняли участие 1.354 пользователей Рунета, выразивших свое мнение относительно допустимых границ исследования уязвимости информационных систем (ИС) - программного обеспечения, веб-сайтов, сетей передачи данных и т.д.

Опрос проводился в рамках исследовательского проекта Право и общество в цифровую эпоху , целью которого является поиск справедливого компромисса между интересами общества, бизнеса и государства в области обеспечения гражданских прав и соблюдения принципа верховенства права при использовании плодов информационно-коммуникационных технологий (ИКТ).

Большая часть респондентов придерживается умеренной позиции ответственного разглашения (responsible disclosure) в рамках которой исследователь должен уведомить производителя об обнаруженной уязвимости и может опубликовать информацию о ней лишь в двух случаях: после успешного устранения уязвимости или отсутствия реакции со стороны производителя. Этот подход является общепризнанной мировой практикой и применяется такими известными компаниями, занимающимися поиском уязвимостей, как ISS, EEYE, Positive Technologies и т.д.

Неприятным, но вполне предсказуемым является тот факт, что 10% опрошенных считают возможным опубликовать информацию о найденной уязвимости в отместку за отсутствие вознаграждения или благодарности со стороны производителя уязвимой ИС, а 18% предпочли бы не никому не сообщать об обнаруженной уязвимости и использовать ее в своих интересах или продать сведения о ней любому заинтересованному лицу.

По мнению эксперта Positive Technologies Сергея Гордейчика, Здесь уместно вспомнить положение одной из первых политик разглашения - RFPolicy: денежная компенсация [за сообщение о найденной уязвимости] или действия, которые могут быть истолкованы как вымогательство, категорически не одобряются (monetary compensation, or any situation that could be misconstrued as extortion, is highly discouraged). В то же время существует ряд компаний, которые открыто скупают информацию о найденных уязвимостях и выступают в качестве посредника между исследователями уязвимостей и производителями уязвимых ИС .

Практически никто из опрошенных не высказался за необходимость запрета на поиск уязвимостей и разглашение сведений о них. За полный запрет высказались лишь 1,6% респондентов, за запрет поиска уязвимостей в неблаговидных целях - 15%. Большая часть опрошенных - почти 75% - считает, что данный вид деятельности должен быть разрешен вне зависимости от целей поиска уязвимостей.

Попытка запретить поиск уязвимостей, скорее всего, приведет к появлению очередной мертворожденной нормы , - считает Гордейчик, - а искусственное ограничение рамок разглашения - к активизации черного рынка и непрозрачности реальной ситуации с качеством программных продуктов .

Достаточно ожидаемо распределение точек зрения между представителями различных групп опрошенных. Разработчики больше тяготеют к ограничению разглашения информации об уязвимостях или снижению объема публикуемых технических деталей, что объяснимо: мало кому приятно публичное обсуждение недостатков его работы.

Однако концепция полного разглашения (full-disclosure) родилась не на пустом месте. Отсутствие технических деталей в публичном сообщении о найденной уязвимости (за которое высказалось 17% опрошенных) ранее являлось сдерживающим фактором, но сегодня теряет свою эффективность (как и любой метод security by obscurity) в связи с отработкой техники восстановления уязвимости по программной заплатке . Иногда подобная лаконичность может приводить к неожиданным последствиям таким, как обнаружение серии уязвимостей в службе RPC ОС семейства Windows NT в 2003 году или недавнем комичном случае, связанным с непредумышленной публикацией DoS-экслойта для службы SMB ОС семейства Windows.

Большинство опрошенных проводят четкий водораздел между хакерами-исследователями и сетевыми вандалами , - отметил эксперт МОО ВПП ЮНЕСКО Информация для всех Евгений Альтовский, - Граница между ними проходит не по тому, на что готовы пойти одни, и не готовы другие, а по мотивам этих поступков - большинство считает неприемлемым поиск уязвимостей в злонамеренных целях. Интересно также, что опрошенные считают значительно более действенным средством борьбы с сетевыми вандалами повышение уровня знаний пользователей и администраторов ИС, чем ужесточение ответственности за эксплуатацию уязвимостей, и с этим мнением трудно не согласиться .

Дата: 11.09.2006
Источник: Ifap.ru
http://www.crime-research.ru/news/11.09.2006/2824/

 


Возврат к списку


Ольга Савко

Начальник группы телемаркетинга

Получите качественную бесплатную консультацию

Акция

Переход на отечественную АИС МФЦ

Скидка на право использования АИС МФЦ «ДЕЛО» при миграции с других решений по автоматизации МФЦ

Акция

«Амнистия» по техподдержке

Акция для клиентов, у которых есть просроченная техподдержка до 01.01.2015

Календарь мероприятий

26октября

Важнейшее IT-событие октября - конференция «Осенний документооборот»

Узнать больше

09октября

ЭОС - участник Всероссийского форума «ПРОФ ИТ»

Узнать больше

04октября

ЭОС и «Медиалюкс» на конференции «СЭД глазами пользователя – о чем молчат вендоры»

Узнать больше

Наши клиенты

7 000 компаний

Наши партнеры

250

во всех городах России
и странах СНГ