W moim rozumieniu nie jest to już zgodne z odpowiedzialnym zachowaniem „białego kapelusza”. Czy mam rację w tym stwierdzeniu?

Biały (i szary / czarny) kapelusz to niejasne określenia. Nie ma ustalonej uniwersalnej definicji. Według definicji Wikipedii większość badaczy byłaby postrzegana jako Gray Hat, ponieważ publikacja nie jest niczym niezwykłym, jeśli wydawca oprogramowania odmówi aktualizacji.

Prosta odpowiedź na twoje pytanie brzmi: nie. Jeśli Twoim celem jest uczynienie świata bezpieczniejszym, to wyraźnie nie jest to zgodne. Istnieje pośredni argument - że poprzez zachęcanie do wynagrodzenia finansowego zachęca do zdrowszych relacji między przedsiębiorstwami a naukowcami, a także zachęca więcej osób do podjęcia pracy w tej dziedzinie.

Dlaczego w ogóle pytasz? Badacz nie jest w żaden sposób zobowiązany do ujawnienia informacji. Chyba że udowodnisz, że złamał prawo, znajdując luki, do których nie masz wpływu, aby go zmusić. Do tej pory otrzymałeś kilka godzin pracy od wysoko wykwalifikowanej osoby (miejmy nadzieję, że inaczej to rzuca się w złe światło) całkowicie za darmo. Albo uważasz, że warto mu zapłacić za dalsze oferowanie usług, albo nie.

* Patrząc na tytuł, twierdzę, że nie jest to zachowanie Black Hat, chyba że celowo wykorzystuje luki w zabezpieczeniach dla własnego zysku lub dla ciebie. własną krzywdę (/ zadaje je bezpośrednio komuś z takim zamiarem). Gdyby tylko odmówił ujawnienia, argument byłby między definicjami białych / szarych kapeluszy.

Badacz nie stworzył luki i nie zagroził, że ujawni lub wykorzysta to, co znalazł. Jeśli nie chcesz płacić za jego pracę, nie rób tego, a sytuacja Twojej firmy nie jest gorsza niż przed skontaktowaniem się z Tobą. W rzeczywistości dał ci dar powiedzenia, że ​​istnieje luka, którą możesz znaleźć samodzielnie lub za pośrednictwem innego wykonawcy.

Więc nie, nie zrobił nic nieetycznego.

Jestem łowcą błędów i nie mam pojęcia, dlaczego wszyscy tutaj uważają, że jest w porządku, że może zaatakować Twoją witrynę internetową bez pozwolenia, samodzielnie określić kwotę nagrody i zagrozić, że powstrzyma potencjalnie niebezpieczne błędy, ponieważ nie dostaje pieniądze, których chce. Dlaczego wcześniej nie zapytał o twoją polisę? Nigdy nie twierdziłeś, że uruchamiasz program bug bounty ani że jesteś w stanie zapłacić komukolwiek w pierwszej kolejności.

Aby jeszcze raz wyjaśnić, OP nie zapisał się do projektu Open Bug Bounty. Projekt oferuje pośrednictwo między naukowcami a stronami internetowymi, które nie prowadzą programu nagród. Ponadto wyraźnie wspominają, że nie jesteś zobowiązany do niczego płacenia, a badacz powinien być tego świadomy, jeśli przeczyta wytyczne.

Właściciel witryny może wyrazić wdzięczność badaczowi w sposób, który uzna za najbardziej odpowiedni i proporcjonalny do wysiłków i pomocy badacza. Zachęcamy właścicieli witryn, aby przynajmniej podziękowali badaczowi lub napisali rekomendację w profilu badacza. Nie ma jednak absolutnie żadnego obowiązku ani obowiązku wyrażania wdzięczności.

(Podkreśl moje własne)

Jeśli spodziewa się pieniędzy nagroda, powinien szukać błędów w firmach, które faktycznie prowadzą program nagród. Istnieje wiele renomowanych programów, które zapewniają wysokie nagrody.

Następnie badacz wysłał e-mail z informacją, że znalazł więcej luk w zabezpieczeniach, ale ponieważ nie przekazaliśmy darowizny, zatrzyma je luki dla siebie.

Jeśli już je znalazł i umieszczenie ich na liście i poinformowanie Cię o tym nie jest wielkim wysiłkiem, to tak, uważam za nieetyczne powstrzymywanie błędów. ¹ Nie pytałeś żeby wykonał dla ciebie pracę. Mógłby zapytać, czy wcześniej zapłacisz za błędy. I nie zaoferował Ci swojej wiedzy w zamian za darowiznę - z twojego opisu wynika raczej łagodna groźba, że ​​jeśli mu nie zapłacisz, Twoja witryna jest w niebezpieczeństwie.

Weź ten incydent jako wskazówkę, że musisz więcej zainwestować w swoje bezpieczeństwo. Rozważ utworzenie prawdziwego programu nagród za błędy z niewielkimi nagrodami lub zatrudnienie profesjonalnego testera penetracji. Ale nie pozwól mu wyłudzić od ciebie pieniędzy, jeśli nigdy ich nie obiecałeś.

¹ Nie chodzi o to, że powinien wykonywać dla ciebie darmową pracę. Chodzi o to, że wspomina, że ​​ jest coś, czego ci nie powie , chyba że zapłacisz mu określoną kwotę, co sprawia, że ​​jest to nieetyczne, zwłaszcza jeśli wykorzystanie tych błędów może zagrozić przyszłości Twojej firmy.

Nie musi ujawniać - ale wiedział, że wchodząc w drugiej rundzie nie płacisz. Więc jaka jest jego motywacja? Nie możesz wiedzieć - więc wykorzystuje tę lukę, aby wywrzeć na tobie presję, abyś zapłacił.

Jednak - ponieważ nie zagroził, że udostępni złośliwe oprogramowanie ani sprzedawać go czarnym kapeluszom, jest potencjalnie prawnie czysty, a może nawet etycznie, jeśli nigdy tego nie zrobi lub jeśli po prostu zrobi otwarty zrzut exploita bez sprzedawania go czarnym kapeluszom.

Mógłby sprzedać go legalnie państwom narodowym i firmom ochroniarskim, ale nie wiedząc, jak ważne Twojego kodu, nie da się powiedzieć, czy jest to miejsce do sprzedaży dla „badacza”.

Płacenie uczciwej wartości rynkowej jest prawdopodobnie najlepszym rozwiązaniem. Ta osoba poświęciła czas na zbieranie informacji, a informacje mają dla Ciebie wartość. Nawet jeśli wydadzą go na otwartej przestrzeni, ma on prawo. Sprowadza się to do tego, jaką krzywdę wyrządziłaby ci wiadomość bez powiadomienia. Jeśli odpowiedź jest niewielka, zignoruj ​​ją. W przeciwnym razie wymyśl gotówkę. Tak przy okazji jest to czysto utylitarne - nie mówiąc o etyce. Z etycznego punktu widzenia powinien przerwać przeglądanie Twojej aplikacji / witryny, o której wiedział, że nie chcesz płacić, chyba że istnieją publiczne dane, które według niego narażasz na ryzyko.

Nawet jeśli nie jest to wymagane przez prawo, wielu uważa, że ​​nie wynagradzanie komuś za jego pracę jest nieetyczne. Jest to niezależne od narzędzi, których ta osoba użyła w swojej pracy lub tonu używanego do komunikacji, zwłaszcza że ton w komunikacji pisemnej może zostać łatwo źle zinterpretowany.

Ta osoba podarowała Ci próbkę swojej pracy, a następnie drażniła masz więcej. Jest to powszechna praktyka handlowa iw żadnym wypadku nie jest to złośliwe zachowanie.

Zatem na podstawie informacji podanych w pytaniu badacz może równie dobrze działać w dobrej wierze, bez złych zamiarów. PO może być stronniczy w przedstawianiu faktów i może próbować wrobić badacza w czarny kapelusz, aby uzasadnić swój punkt widzenia. To tylko przypuszczenie, a PO może być w dobrej wierze, a badacz mógł rzeczywiście zagrozić PO, ale to niejasne.