La loi n'est pas claire. Tout ce que vous faites, aussi innocent soit-il, peut être considéré comme un crime. Tout ce que le propriétaire du site Web doit faire est de dire "Je ne voulais pas que cela se produise", et vous pourriez être condamné pour un crime.

Avant de faire un don à un site Web de secours aux victimes du tsunami, Daniel Cuthbert a tapé ../../../ dans l'URL. Il a été reconnu coupable d '"intention de pirater" (au Royaume-Uni).

Lori Drew a été reconnue coupable de piratage de MySpace, car elle a enfreint les conditions de service de MySpace en créant un faux compte, qui a ensuite été utilisé par sa fille de 14 ans pour harceler une autre fille, qui s'est suicidée par la suite. Les condamnations ont été annulées plus tard, et le gouvernement a décidé de ne pas faire appel - mais c'est toujours une expérience à éviter.

Andrew "weev" Auernheimer a été reconnu coupable de vol d'identité, car AT&T a fourni des informations de compte client pour le premier iPad propriétaires sur leur site Web, et il a écrit un script qui énumère simplement les URL et les télécharge.

Brian K. West a été menacé de poursuites parce qu'il a cliqué sur un bouton intitulé "Modifier" sur un site Web de journal - et a été surpris de découvrir que cela lui permettait de modifier la page Web actuelle. Après avoir signalé le problème au journal, le FBI a enquêté sur lui (y compris la fouille du lieu de travail de West et la saisie de certains documents) et un procureur l'a apparemment menacé de poursuites pour crime.

Dans une affaire récente, il a été constaté que lorsque vous faites remplir une boîte de réception de spam, donc en le faisant, vous êtes coupable de «piratage» tel que défini par la loi sur la fraude et les abus informatiques.

Je fais tout ce que vous décrivez. Il y a des lignes que je ne franchirai pas: je testerai l'injection SQL, mais je n'accéderai pas à la base de données. Mais je fais cela parce que je peux me permettre des avocats très chers pour me défendre. De plus, je ne ferai pas de choses stupides. Par exemple, Daniel Cuthbert a été condamné pour "intention de pirater" parce qu'il n'arrêtait pas de changer son histoire lorsqu'on lui a demandé pourquoi il l'avait fait, donc le tribunal n'a cru à aucune histoire.

Ne le fais pas! Ne fais pas ça! Si vous êtes aux États-Unis, la loi est très large. Vous ne voulez même pas aller sur la pointe des pieds.

La loi pertinente est le Computer Fraud and Abuse Act (18 U.S.C.1030). En un mot (et en simplifiant légèrement), en vertu de la CFAA, c'est un crime fédéral «d'accéder intentionnellement à un ordinateur sans autorisation ou de dépasser l'accès autorisé». Ce langage est très large, et j'imagine qu'un procureur ambitieux pourrait essayer de l'utiliser pour rechercher tout ce qui figure sur votre liste sauf le n ° 1 (voir la source).

Orin Kerr, l'un des principaux juristes dans ce domaine , qualifie la statue de "vague" et "extraordinairement large", et a déclaré que "personne ne sait vraiment ce qu'elle interdit".

Et , comme l'explique @Robert David Graham, il y a eu des cas où des gens ont été poursuivis, menacés de poursuites ou poursuivis pour avoir fait aussi peu que taper un guillemet simple dans une zone de texte, ajoutant un ../ à une URL, ou en vous inscrivant à Facebook sous un pseudonyme. C'est assez sauvage que cela constitue à lui seul une infraction fédérale, même s'il n'y a pas d'intention malveillante. Mais c'est l'environnement juridique dans lequel nous vivons.

Je dirais, ne prenez pas de risques. Obtenez une autorisation écrite de la société dont vous souhaitez tester les sites Web.

La seule constante dans de nombreuses juridictions semble être que la seule action sûre sur votre liste est le numéro 1.

Dans certains domaines, vous seriez d'accord pour modifier les données, mais vous ne devriez vraiment pas le risquer .

J'irais jusqu'à dire que vous abordez cela de manière totalement incorrecte.

Meilleure approche:

Informez la société de développement Web que si elle veut votre entreprise, elle doit fournir la preuve que l'application a été testée selon une norme particulière. Au Royaume-Uni, vous pouvez le faire en exigeant un test par une personne ou une équipe approuvée par CREST ou CHECK. Ou vous pouvez obtenir une assurance en utilisant l'un des cabinets d'audit Big-4. S'ils ont passé un test, vous pouvez demander la visibilité de la méthodologie et des résultats.

Meilleure approche:

Demandez-leur de démontrer les contrôles de sécurité et de gouvernance dans leur cycle de vie de développement. Une organisation mature en sécurité utilisera un SDLC complet qui réduira la probabilité de vulnérabilités et supprimera même des classes entières de vulnérabilités. Les tests de pénétration ne sont quasiment qu'une confirmation à la fin du processus.

Mise en garde: je ne suis pas un avocat, juste un geek qui suggère la prudence.

Y a-t-il une ligne définie dans le sable qui sépare le piratage illégal du "test sans permission"? Ou est-ce que tout ce scénario est une zone grise que je devrais éviter (probablement le cas). Existe-t-il des ressources en ligne connectables qui pourraient élargir mes connaissances dans cette zone entièrement grise? Quels sont les actes ou lois spécifiques qui gèrent cela?

Non. Il n'y a même pas d'accord sur les juridictions qui s'appliquent et encore moins sur les lois applicables dans ces juridictions. Même en ignorant les sanctions pénales, vous devriez éviter de le faire simplement à cause des sanctions civiles.

Si vous faites la moitié des choses sur cette liste, vous enfreignez probablement les conditions de service et toute utilisation non de bonne foi de l'ordinateur les ressources peuvent vous mettre en danger de poursuites civiles. Vos arguments selon lesquels vous n'utilisez pas de ressources indues sont basés sur des spéculations sur la manière dont des ingénieurs raisonnables concevraient / déployeraient des systèmes. Vous pouvez très bien avoir raison, mais vous n'avez pas et ne pouvez pas vérifier ces affirmations à l'avance ou vous assurer contre elles. Si un effondrement dans leur salle de serveurs coïncide simplement avec votre sondage, vous ne voulez pas être en mesure de prouver que vous ne l'avez pas causé.

Des charges utiles apparemment inoffensives peuvent devenir un problème lorsqu'elles sont multipliées par plusieurs visiteurs. Par exemple, votre charge utile alert (1) injectée peut sembler anodine, mais si vous trouvez une vuln XSS persistante et qu'elle se manifeste sur la page d'accueil où elle est vue par x client potentiel pendant d jours. Pour certaines valeurs de x et d, ce n’est pas anodin et vous n’avez pas le pouvoir d’atténuer ces variables.

Même les testeurs sous contrat devraient avoir une assurance responsabilité civile lorsqu'ils travaillent avec une autorisation selon "Test de pénétration: le pirate informatique tiers"

Tous les fournisseurs de services de test d'intrusion doivent disposer d'une assurance responsabilité civile suffisante pour couvrir les coûts associés au risque de perte des informations exclusives d'un client et à toute perte potentielle de revenus pouvant résulter de temps d'arrêt imprévus causés par leurs activités. Si le fournisseur de services n’a pas d’assurance responsabilité civile, faites attention à la manière dont il spécifie la responsabilité dans ses «Conditions générales». La direction doit également s'assurer qu'elle peut se remettre d'une perte de données pendant les tests en mettant en place des plans de réponse aux incidents et de reprise après sinistre adéquats qui ont été développés et vérifiés avant le début des tests.

Si vous étiez contracté par l'entreprise, vous pourriez être responsable de la perte de données / affaires lorsque votre sondage met hors service des systèmes de production. Si vous agissez sans contrat ni relation préalable, et pour votre propre bénéfice, vous courez encore plus de risques de poursuites si leurs systèmes (qu'ils ne savaient pas sauvegarder avant de commencer votre enquête) ont des défauts que vous chatouillez.

Disons que vous allez de l'avant, et cela entraîne un procès civil. S'ils veulent vous faire pression pour que vous vous régliez, ils pourraient soulever le spectre des sanctions pénales ou essayer d'obtenir des dommages-intérêts punitifs en comparant vos actions à celles pour lesquelles il existe des sanctions pénales. Les juges et les jurys peuvent être sensibles à l'argument suivant, basé vaguement sur le "Cyber ​​vandalisme et" hacktivisme "d'Internet":

"Imaginez qu'un serrurier veuille décider quelle serrure acheter, alors il demande à un serrurier une liste de clients. Le serrurier se rend dans un dépanneur qui utilise ses serrures et trouve le magasin fermé pour la nuit. Il tripote Le propriétaire du magasin arrive le lendemain matin pour trouver la serrure cassée, donc il ne peut pas l'ouvrir et ne vend donc pas de café ce matin-là. La plupart des juridictions ont des lois contre les vandales et elles pourraient être utilisées contre le serrurier. Des dommages-intérêts punitifs devraient s'appliquer au serrurier parce que la société a intérêt à punir les vandales. "

Que vous trouviez ou non le serrurier qui veut acheter une serrure une bonne analogie pour vous, les juges et les jurés pourraient, et là est un mème parmi les non-férus de technologie que les "hackers" (définis de manière approximative) sont des vandales comme décrit dans le lien ci-dessus.

TLDR: Ne vous préparez pas à un procès coûteux en devenant cow-boy.

Cela ne répond pas à votre question particulière, mais pour votre situation hypothétique, si vous êtes autorisé à tester la sécurité de leur application, tout ce qui précède est 100% légal. Encore mieux serait de demander au candidat de configurer un système de test (pas son vrai site Web), puis d'essayer d'attaquer ce système de test. De cette façon, si vos tests arrêtent accidentellement un système actif (ou si quelqu'un remarque la menace et arrête le système), vous n'êtes pas responsable des dommages.

Pour les systèmes auxquels vous n'êtes pas affilié et qui ne demandent pas tests de pénétration; Je ne ferais pas le tour de tester les failles de sécurité. Oui, vous ne serez pas en mesure de vraiment savoir que le site Web de la société XYZ est protégé contre les attaques par injection SQL sans test, mais à moins qu'ils n'aient convenu que vous devriez le tester - ce n'est pas votre travail de le tester, et si vous êtes surpris en train de le faire pour que cela puisse et devrait vous poursuivre.

C'est comme demander, est-ce que je peux essayer de vérifier si la maison de mon voisin est fermée à clé? Ou voir si je pourrais facilement crocheter la serrure (sans jamais ouvrir la porte et entrer à l'intérieur)? Ou tester pour voir si vous pouviez ouvrir une fenêtre dans laquelle vous pourriez vous faufiler? Si votre voisin ou la police remarque que vous faites l'une de ces choses et se sent obligé de porter plainte, vous êtes foutu à moins que vous n'ayez une raison légitime (j'ai entendu crier à l'aide à l'intérieur; je déposais quelque chose chez eux et je n'ai pas je veux le laisser dehors sous la pluie; j'ai donc essayé de voir si je pouvais ouvrir la porte).

En supposant que vous embauchez la société de développement Web au nom de votre entreprise, je demanderais conseil au service juridique de votre entreprise. Si vous enquêtez sur la sécurité au nom de votre entreprise et que quelqu'un voulait intenter une action en justice, il poursuivrait presque certainement les poches les plus profondes de votre entreprise plutôt que vous personnellement. Vous voulez vraiment que votre service juridique vous soutienne si cela devait arriver.

Le service juridique de votre entreprise est également bien mieux placé pour savoir ce que vos lois nationales et nationales permettent. S'il y a une quelconque enquête criminelle, le fait que vous ayez consulté votre conseil juridique ne vous indemniserait pas, mais ce serait certainement un point en votre faveur.