Ist es ethisch korrekt, echte Systeme zu hacken? [geschlossen]

Ist es ethisch korrekt, echte Systeme zu hacken, die jemand anderem gehören? Nicht um Profit zu machen, sondern um Ihr Sicherheitswissen zu testen und etwas Neues zu lernen. Ich spreche nur von Hacks, die dem System keinen Schaden zufügen, sondern nur beweisen, dass es einige Sicherheitslücken gibt.

Es wurde immer wieder gezeigt, dass es nicht ethisch ist. Und wenn Sie einen Fehler entdecken, werden sie Sie wahrscheinlich an die Wand nageln, wenn sie die Werbung nicht stören. Stellen Sie bei jeder Art von Sicherheitstest sicher, dass Sie die schriftliche Erlaubnis von jemandem haben, der befugt ist, diese zu erteilen. Warum?

Siehe Randal L. Schwartz . Er kämpfte 12 Jahre lang gegen die Verurteilung und ließ schließlich seinen Rekord streichen. Er tat etwas, woran die meisten Sysadmins zu der Zeit nicht zweimal nachgedacht hätten. Aber verurteilt war er.

Der Hauptfehler, den ich in Ihrer Frage sehe, ist, dass Sie anscheinend glauben, dass es möglich ist, von außen richtig einzuschätzen, was der Schaden, der durch das Hacken eines bestimmten Systems entsteht, anrichten wird.

Woher weißt du, dass das Umdrehen eines bestimmten Teils in die falsche Richtung nicht zu einer vollständigen Zerstörung führt und dein Ziel Tausende oder Millionen Dollar kostet?

Da die Ethik sehr subjektiv ist, werde ich Ihnen auf diese Weise antworten. Es wäre viel ethischer, Dinge in Ruhe zu lassen, die dir nicht gehören oder die du nicht ausdrücklich berühren darfst.

Wenn Sie nur Ihre Sicherheitskenntnisse verbessern möchten, gibt es eine Linux-Distribution namens Damn Vulnerable Linux . Es wird als Unterrichtshilfe in Sicherheitsklassen an Universitäten verwendet und enthält absichtlich viele Sicherheitslücken.

Installieren Sie das einfach auf einem Ersatzcomputer, viel ethischer und Sie können genauso viel lernen.

Mit einem Wort, nein.

Wenn Sie etwas routinemäßig herausfinden, ist es gut, sie zu warnen und es nicht auszunutzen. Aber absichtlich die Sicherheit eines anderen zu testen, ist nicht wirklich ethisch.

Sie sollten Sicherheitsfirmen dafür bezahlen, und wenn sie Sie damit beauftragt haben, dann ist dies eindeutig nicht unethisch. Aber wenn Sie nicht beauftragt wurden, dies zu tun, und Sie versehentlich ein Problem aufdecken oder ein Problem verursachen, das unbeabsichtigt durch Ihre Hacking-Aktionen verursacht wird, vermute ich, dass die meisten Unternehmen möchten, dass Sie strafrechtlich verfolgt werden.

Zu Ihrer eigenen Sicherheit würde ich nicht dorthin gehen. Wenn Sie wirklich daran interessiert sind, bewerben Sie sich bei den dafür beauftragten Sicherheitsfirmen.

Nein, das ist nicht ethisch.

Wenn Sie wegen illegalen Einbruchs vor Gericht gestellt werden, lässt Sie der Richter nicht los, weil Sie "Ihre Sicherheitskenntnisse getestet und etwas Neues gelernt haben".

Wenn Sie während der normalen Nutzung des Systems auf eine Sicherheitslücke stoßen, ist es meines Erachtens absolut ethisch einwandfrei, sie auf das Problem aufmerksam zu machen, aber die Suche nach Sicherheitslücken, für die Sie keinen Vertrag haben, ist nicht nur in vielen Fällen unethisch Ortschaften ist es auch illegal.

Gestatten Sie mir, Ihre Frage zu umschreiben:

"Ist es ethisch, in jemandes Haus einzubrechen, nur um zu beweisen, dass es möglich ist, auch wenn Sie nichts stehlen?"

@Marc Gravells Argument über die Beibehaltung eines Anwalts ist gut gemacht ...

Wir ließen einige ältere AIX-Anwendungen und Serverkonfigurationen von einem Sicherheitsspezialisten überprüfen. Er führte einen sehr freundlichen und engen Scan eines IBM Blade-Gehäuses mit PPC-Blades durch und versuchte, eine Verbindung mit der Management-Karte herzustellen. Dieser wurde sofort neu gestartet.

Niemand hätte das gedacht, und es war eindeutig ein Fehler in der Karte. Aber die möglichen Schäden, die selbst ein freundlicher Ping anrichten kann, sind einfach verblüffend. Sie können nicht sagen, dass Sie "keinen Schaden anrichten" - das ist einfach keine Aussage, die Sie garantieren können.

(In diesem Fall hatte ein Neustart der Managementkarte nur geringe Auswirkungen, außer dass die Fans das Management verlieren und auf Hochtouren gehen. Wenn Sie jemals über ein IBM Bladecenter verfügen, bedeutet dies, dass die Besucher im Empfangsbereich zwei Stockwerke vom Serverraum entfernt sind.) Ich höre mich ein paar Minuten lang nicht;)

Nur wenn du es ihnen zuerst sagst und sie dir die Erlaubnis geben, dein Bestes zu geben.

... und wie wahrscheinlich ist das :)

Unter Berufung auf meine fortgeschrittenen Kenntnisse über die Frage "Ist es ethisch korrekt, X zu tun?" bedeutet ⁽¹⁾ , die Antwort ist "nein".

_{⁽¹⁾ Es bedeutet "sollen wir X machen?"}

Die beiden anderen Antworten auf diese Frage (wenn ich sie lese) sind ausgezeichnet, daher möchte ich nur einen kleinen Vorschlag hinzufügen. Gehen Sie nicht davon aus, dass Sie nicht mit völlig legalen Mitteln das gleiche Wissen erwerben können. Das Studium der Verschlüsselung, der Versuch, Sicherheitslücken im Quellcode freier Open-Source-Software zu finden, das Einrichten eigener Dummy-Systeme, mit denen Sie sicher experimentieren können, das Lesen von Artikeln zur Internetsicherheit usw. kann ebenso lehrreich sein.

Die Antwort ist: es kommt darauf an.

Es ist im Allgemeinen nicht legal , sich in Systeme zu hacken, die Sie nicht besitzen.

Es gibt jedoch einige sehr begrenzte und sehr hypothetische Situationen, in denen dies tatsächlich ethisch vertretbar sein kann.

• Während eines Krieges in die Computersysteme einer feindlichen Regierung hacken
• Ermittlung des Täters eines Verbrechens in einer "Smoking Gun" -Situation
• Nachweis von Fehlverhalten von Unternehmen, das sich auf die Gesundheit und Sicherheit anderer auswirkt

Diese Szenarien sind im wirklichen Leben äußerst selten (kommen aber die ganze Zeit in Hollywood vor), und es ist genauso wahrscheinlich, dass Ihr Arsch ins Gefängnis geworfen wird wie alles andere. Der Unterschied zwischen legal und ethisch ist jedoch wichtig.

Es gibt Organisationen / Unternehmen, die für ihre "White Hat" -Dienstleistungen eine Gebühr erheben. In der Regel werden sie von großen Unternehmen bezahlt, um die Sicherheit ihres Systems regelmäßig zu testen. Vielleicht könnten Sie eine dieser Gruppen in Ihrer Nähe finden und Ihre Dienste anbieten (zunächst kostenlos, würde ich vorschlagen), es wäre eine gute Schulung für Sie, vielleicht könnten Sie irgendwann ein bisschen Geld verdienen, und was wichtig ist, ist von Natur aus moralisch einwandfrei.