Quali sono i problemi legali / etici da tenere a mente quando si hackerano siti Web con inviti aperti?

Inizierò con l'obbligo di non essere un avvocato, e gli unici avvocati che sono in grado di dare una consulenza legale adeguata:)

Detto questo, c'è un numero di fattori da considerare qui. Innanzitutto, ci sono alcuni siti che autorizzano esplicitamente i test di sicurezza (un elenco recente sul blog di Dan Kaminskys ). Da quello che ho visto questi siti forniscono regole di ingaggio (ad esempio, nessun attacco DDoS). Se segui queste linee guida per una grande azienda come Google, sarei sorpreso se intraprendessero azioni legali contro di te. Ovviamente credo che potresti ancora teoricamente infrangere una legge locale contro l'hacking, anche così ..

Al di fuori di questa lista o di altre società molto conosciute, sarei piuttosto preoccupato di una pagina che diceva "Va bene hackerare questo sito". Ad esempio, in un sito in cui è consentito il contenuto generato dall'utente, come fai a sapere che la persona che ha creato la pagina ha l'autorità per prendere tale decisione?

In ogni caso sarei sorpreso di vedere un sito dire che "attaccare senza esclusione di colpi" è OK. In definitiva, anche se si tratta solo di una negazione del servizio, quasi tutti i siti presentano un qualche livello di vulnerabilità ..

Questa è un'area molto interessante, e non penso che nessuno abbia mai sollevato un caso legale per prendere una decisione in un modo o nell'altro.

In varie giurisdizioni, potresti comunque essere perseguito per attività criminali, nonostante ci sia una nota di approvazione sul sito web.

Ad esempio, quando un'azienda di test di penetrazione fa del lavoro per te, i termini e le condizioni possono includere clausole di limitazione di responsabilità, aspettative di comportamento, contatti e protocolli di escalation e contatti e così via, e lavoriamo ancora con un elemento di rischio che se rompiamo qualcosa il cliente può intraprendere un'azione legale. Quindi, quando inizi ad attaccare un sito web, sappi che non essendoci un contratto firmato, potrebbe non essere necessario mantenere il contratto implicito sul sito web.

Quindi, per lo meno, segui le linee guida, ma in aggiunta, esegui il log tutto nel caso in cui accadesse qualcosa di brutto e devi dimostrare che non eri tu o non era intenzionale !