Illegaal of niet - Publiceren zwakheden

[Douweegbertje]

Ik ben persoonlijk bezig met een klein onderzoekje naar bepaalde zwakheden in allerlei apparaten. Technisch gezien vind ik het een lastig onderwerp. In feite "loop" ik open deuren binnen. Mijn doel is om uiteindelijk mensen iets bewuster te maken met het gebruik van allerlei dingen die aan het internet hangen.

Nu zit ik toch deels te twijfelen of ik nu zoiets moet gaan publiceren. En met publiceren bedoel ik in eerste instantie gewoon een tweakers blogje. Het bevat niets aan persoonlijke gegevens van mensen en alles is geanonimiseerd. Daarbij gebruik ook niet eens exploits of andere "3rd party" tools om toegang te verschaffen.

Het laatste wat ik wil is gezeik, het is puur informeren en een stukje bewustmaking.

Weet iemand hier meer over?

[Rukapul]

Zoek eens op responsible disclosure

offtopic:
SG->BV

[Douweegbertje]

Dat is wel een punt, echter vind ik dat lastig met betrekking tot "random" mensen zonder contact gegevens, waarbij het ook nog eens zeer algemeen voorkomend is. In feite is het ook niet eens een veiligheidsfout, noch exploit maar onkunde/geen kennis.

Daarom ook het punt dat alles geanonimiseerd is. Speel ik dan gewoon 'veilig'?

[CAPSLOCK2000]

Ik vermoed dat je het hebt over apparatuur als routers, printers of televisies die zonder wachtwoord vanaf internet toegankelijk zijn. Als dat zo is heeft het weinig zin om contact op te nemen met de eigenaren maar kun je je beter richten tot de fabrikant. Eigenlijk hoort de eigenaar natuurlijk te zorgen voor een firewall maar voor 95% van de mensheid is dat te veel gevraagd.

[RedHat]

CAPSLOCK2000 schreef op zondag 02 februari 2014 @ 18:51:
Ik vermoed dat je het hebt over apparatuur als routers, printers of televisies die zonder wachtwoord vanaf internet toegankelijk zijn. Als dat zo is heeft het weinig zin om contact op te nemen met de eigenaren maar kun je je beter richten tot de fabrikant. Eigenlijk hoort de eigenaar natuurlijk te zorgen voor een firewall maar voor 95% van de mensheid is dat te veel gevraagd.

De fabrikanten bieden vaak mogelijkheden zat, echter de gebruiker heeft vaak geen verstand van bepaalde zaken maar wil wel dat een product out-of-the-box werkt zonder configuratiedingen enzo.

Daarom maken fabrikanten alles zo makkelijk mogelijk en universeel mogelijk, wat ook vaak betekend dat interfaces openstaan of een default wachtwoord hebben. Wat vroeger een beetje nerd-hardware was (Mediaspelers, Domotica etc) heeft zijn weg gevonden naar de 'normale' consument. En fabrikanten spelen daar op in.

9 van de 10 keer is het gewoon user error.

[CAPSLOCK2000]

Dat ben ik niet met je eens, de meeste mensen denken niet na over veiligheid en komen dus niet eens op het idee dat ze een wachtwoord moeten instellen of stellen het uit en vergeten het dan. Fabrikanten moeten daarin hun verantwoordelijkheid nemen. Een fabrikant zou ook een veilig wachtwoord kunnen instellen en dat op een blaadje in de doos doen zoals sommige routerfabrikanten dat doen.

Offtopic, wat mij betreft mag de staat best eisen stellen, net zoals we dat ook bij auto's doen. Als je het aan de massa overlaat zou vrijwel niemand willen betalen voor een katalysator of gordels.

[Rukapul]

RedHat schreef op zondag 02 februari 2014 @ 18:54:

9 van de 10 keer is het gewoon user error.

En dus is het een kwestie van non-usable security. Een (security) oplossing moet ontworpen worden met de mens zoals hij is (met gebreken en kwaliteiten) als onderdeel. De mens als perfect onfaalbaar beschouwen is verkeerd.

[Verwijderd]

Het gebruik van default wachtwoorden is om die reden enige tijd geleden door (volgens mij de meeste) routerfabrikanten aangepakt. De gebruiker wordt bij eerste gebruik gedwongen om nieuw eigen wachtwoord in te voeren. Dat is bijvoorbeeld een goede manier om de beveiliging van routers omhoog te brengen.

Volgens mij kun je prima voorbeelden gebruiken. Zeker als je zegt dat het open deuren zijn die leken een beter idee moeten geven over het hoe en wat ten aanzien van beveiliging van apparaten. Want vaak zullen het zaken zijn waar wel een beveiliging voor is maar die niet gebruikt wordt door de gebruiker.