TL; DR - Être professionnel et humble ira un long chemin. Être secret, orgueilleux ou malveillant ne se terminera évidemment pas si bien. Si vous travaillez calmement et en privé avec eux, ils feront probablement de même.
Cela ressemble presque à la façon dont j'ai commencé à trouver des problèmes avec la sécurité de mon université. Mon université mettait l'identifiant de l'étudiant dans un cookie et c'est avec qui vous étiez connecté. Si vous avez manipulé le cookie, vous vous êtes connecté comme celui que vous vouliez. C'est cette découverte qui m'a amené à approfondir leur sécurité. Ils avaient également un serveur de messagerie non sécurisé qui relayerait tout sans authentification. Les noms de fichiers des images dans le répertoire de l'école n'étaient qu'un codage étrange de la pièce d'identité de cet élève. À un moment donné, je pouvais rechercher un SSN et obtenir le nom d'un élève.
J'ai trouvé ces bogues petit à petit. Cela a commencé par un sentiment de "mes informations doivent être en sécurité et ce n'est pas le cas" et je voudrais signaler la dernière faille que j'ai découverte au service informatique. Après environ la troisième fois que j'ai rapporté quelque chose, j'ai commencé à me sentir à la fois en colère et supérieur au département. Toutes les deux semaines, je serais dans le bureau du vice-président des technologies pour montrer une nouvelle façon d'obtenir les SSN ou les dossiers financiers des étudiants dès 1995 ou une technique de harceleur pour déterminer tout le programme de classe de quelqu'un (y compris leur note dans cette classe. ). Le VP a également commencé à devenir hostile avec moi. J'avoue que je n'ai peut-être pas eu la meilleure attitude après les 6 mois. À un moment donné, j'ai été expulsé pendant environ 3 semaines quand ils ont appris que j'essayais de faire de l'ingénierie inverse sur leur encodage (lien ci-dessus). Je voulais leur montrer quels trous étaient vulnérables lorsqu'un individu ne travaillait pas avec eux et qu'ils étaient dans le noir. Finalement, nous l'avons réglé, mais il y avait beaucoup de colère, de paperasse et d'ego qui circulaient entre-temps des deux côtés.
Ce que j'essaie de faire valoir, c'est que le service informatique a travaillé avec moi bien que je sois un idiot. Ils ont réglé les problèmes et l'école est mieux lotie. Tant que j'étais franc sur mes intentions et ouvert sur ce que je faisais, ils ne me menaçaient ni ne me gênaient. Ce n'est que lorsque je travaillais en secret qu'ils ont pris des mesures disciplinaires. J'étais partout avec des choses qui pourraient absolument être considérées comme du piratage, y compris les attaques par injection, l'ingénierie sociale, l'ingénierie inverse, le reniflage de paquets, l'analyse de port, les exploits logiciels personnalisés, et plus encore. Comme je n'ai jamais rien changé et que je leur ai toujours (enfin ... généralement) rapporté mes découvertes calmement et directement, ils ont travaillé avec moi. Je n'ai aucun doute que si je n'étais pas un âne, je n'aurais pas été temporairement expulsé.