Wanneer ethisch hacken illegaal?

[SherlockHolmes]

Goedemorgen,

Ik ben een website tegengekomen waar meteen mijn vingers van gingen kietelen (favicon standaard van WordPress, wp-content geeft een lege pagina ipv redirect, 3 verschillende soorten requests sturen 3 verschillende errors). Het bedrijf zelf is niet gigantisch belangrijk maar is volgens mij gewoon een standaard half privaat bedrijf. Ik heb ook een REST API endpoint ontdekt (binnen 30sec) die mij precies terugstuurt op een JSON wat alle mogelijke requests etc zijn.

Nu wil ik eigenlijk even checken of dit slecht is afgesteld of echt een datalek kan gaan zijn als ik een paar requests naar /users/ stuur. Maar ik ben toch huiverig, want ik weet niet of het legaal is.

Het vervelende is eigenlijk dat ik niet weet wat legaal is. Beetje kutten met requests om te zien of iets lek is, om dan vervolgens het bedrijf meteen te helpen en informeren free of charge, is dat legaal? Staat nergens duidelijk beschreven.

Ik ben zelf iemand die werkzaam in een Cybersec-rol is, maar nu ben ik dus gewoon iets tegengekomen wat ik eigenlijk iets verder wil testen. Maar is het illegaal om bepaalde requests te sturen om te zien of er iets terugpraat? En als ik persoonsinfo terugkrijg? Is dat dan illegaal?

Laat ik natuurlijk duidelijk maken dat als ik persoonsinfo tegenkom ik meteen contact op wil nemen om te adviseren om dit op te lossen, free of charge ofc.

[ Voor 10% gewijzigd door SherlockHolmes op 05-11-2022 10:31 ]

[Will_M]

Je hebt nu eigenlijk per toeval ontdekt dat er een achterdeur openstaat. Alles wat je nu op eigen houtje verder gaat onderzoeken zonder daarbij een melding te maken bij / aan de eigenaar van de site valt direct onder de noemer 'computervredebreuk'.

[ Voor 4% gewijzigd door Will_M op 05-11-2022 10:35 ]

[Reacher]

Nou als je werkzaam bent in de cybersecurity weet je ook wel dat zonder rules of engagement je eigenlijk al heel grijs bezig bent.

[ID-College]

Je bent werkzaam in cyber sec maar dit weet je niet??

[Rmg]

https://www.cybercrimeadv...%20komen%20te%20ontbreken.


Vrij duidelijke leidraden lijke me. Lek is tot op zekere hoogte aangetoond, je hoeft nu niet verder te gaan.

[SherlockHolmes]

ID-College schreef op zaterdag 5 november 2022 @ 10:34:
Je bent werkzaam in cyber sec maar dit weet je niet??

Dit is niet mijn deel van CyberSec, ik sta zover mogelijk van het legale deel af als maar kan. En dit heb ik nooit eerder gedaan, vandaar.

Will_M schreef op zaterdag 5 november 2022 @ 10:34:
Je hebt nu eigenlijk per toeval ontdekt dat er een achterdeur openstaat. Alles wat je nu op eigen houtje verder gaat onderzoeken zonder daarbij een melding te maken bij / aan de eigenaar van de site valt direct onder de noemer 'computervredebreuk'.

Ik heb niet echt ontdekt dat er een achterdeur openstaat, alleen dat het slot misschien krakkemikkig is. Ik heb dus een API gevonden, maar ik heb geen enkele request gestuurd. Een API die open staat is niet abnormaal, dat kom ik vaak tegen. Maar daadwerkelijk requests sturen....daar vraag ik me dus van af of dat illegaal is. Ik ken wel ethische hackers die altijd veel verder gaan en veel geavanceerdere lekken tegenkomen en die melden en dan is alles koek en ei, maar ik heb dit zelf nog nooit gedaan.

Rmg schreef op zaterdag 5 november 2022 @ 10:35:
https://www.cybercrimeadv...%20komen%20te%20ontbreken.


Vrij duidelijke leidraden lijke me. Lek is tot op zekere hoogte aangetoond, je hoeft nu niet verder te gaan.

Zie bovenstaande, kan eigenlijk niet van een lek spreken, want ik heb nog geen request naar bijv. /users/ gestuurd om te zien of hij wat terugstuurt wat persoonsgegevens zijn. Vooralsnog dus slordig geregeld maar geen lek.

[sOid]

Ik vermoed dat het antwoord ‘nee’ is, maar noem het toch even: het bedrijf heeft geen responsible disclosure/CVD?

[SherlockHolmes]

sOid schreef op zaterdag 5 november 2022 @ 10:47:
Ik vermoed dat het antwoord ‘nee’ is, maar noem het toch even: het bedrijf heeft geen responsible disclosure/CVD?

Nope.

[MAX3400]

Laat ik natuurlijk duidelijk maken dat als ik persoonsinfo tegenkom ik meteen contact op wil nemen om te adviseren om dit op te lossen, free of charge ofc.

Bijna elke website heeft:

- een registrar
- een administrative contact
- een hosting-partij (vaak, niet altijd)
- mogelijk een about / contact / whatever pagina

Het lijkt me niet onmogelijk om eerst die routes eens bewandelen voordat je, volgens je eigen woorden, beetje kutten met requests gaat zitten doen op een zaterdagmiddag.

SherlockHolmes schreef op zaterdag 5 november 2022 @ 10:39:
[...]

Dit is niet mijn deel van CyberSec, ik sta zover mogelijk van het legale deel af als maar kan.

Wat doet een Service Delivery Engineer in loondienst dan wel? Neem toch aan dat het lastig is, als legale werkgever in NL, om de hele dag black-hat-ops uit te voeren en je legaal bijna nergens van aan te trekken?

[ Voor 30% gewijzigd door MAX3400 op 05-11-2022 10:57 ]

[SherlockHolmes]

MAX3400 schreef op zaterdag 5 november 2022 @ 10:53:
[...]

Bijna elke website heeft:

- een registrar
- een administrative contact
- een hosting-partij (vaak, niet altijd)
- mogelijk een about / contact / whatever pagina

Het lijkt me niet onmogelijk om eerst die routes eens bewandelen voordat je, volgens je eigen woorden, beetje kutten met requests gaat zitten doen op een zaterdagmiddag.


[...]

Wat doet een Service Delivery Engineer in loondienst dan wel? Neem toch aan dat het lastig is, als legale werkgever in NL, om de hele dag black-hat-ops uit te voeren en je legaal bijna nergens van aan te trekken?

Laten we eerlijk zijn, ik spreek tientallen van dit soort bedrijven per week om ze te helpen, en als er geen persoonsgegevens zijn te achterhalen (omdat ik dit op jouw advies niet heb getest) gaat het ook nooit gesloten worden. En volgens mij als ik naar andere ethische hackers kijk ben ik zeer voorzichtig hierin en probeer ik ze gewoon even te helpen, wat lastiger gaat als dat ik zeg 'geen idee of je een probleem hebt maar deze API kan het beste dicht.'

En wij doen alles puur legaal in afspraak met de klant, niet random klanten tegenkomen en hiermee in zee gaan.

[sOid]

Ik snap dilemma van TS eigenlijk best. Een API zal weinig mensen iets zeggen.

Mijn gut feeling (geen idee van de juridische implicaties) om dit handig aan te pakken:
Contact opnemen met het bedrijf, uitleggen wat je hebt gevonden, uitleggen wat de risico’s zijn (in gewonemensentaal, denk bijvoorbeeld aan integriteit, beschikbaarheid, vertrouwelijkheid van info), uitleggen wat misschien nog meer mogelijk is. Duidelijk benadrukken dat je geen persoonsgegevens oid hebt ingezien. Aanbieden om verder te kijken (gratis, intenties helder uitleggen). Dan wel ff (beknopte) vrijwaringsverklaring regelen.

Voor de zekerheid proton-mailboxje aanmaken en vanuit daar versturen.

Maar nogmaals, geen idee of dit juridisch de juiste route is. Ben benieuwd hoe anderen hierover denken.

Zelf vond ik onlangs een document met tientallen wachtwoorden van een stichting. Ook gemeld (anoniem). De wachtwoorden niet daadwerkelijk geprobeerd. Een week later was het document niet meer te vinden.

[Skating_vince]

Wat let je ook ze eerst te vragen om zelf die API aan te roepen en ze even de tijd te geven? Mochten ze het zelf niet serieus nemen, kan je altijd nog zelf wat inschieten om te kijken of het echt een lek is en ze daarop wijzen (ik weet niet of dat legaal is, daar geef ik geen advies over).

Ik heb het gevoel dat je nu vanuit je adreline van het vinden zelf graag wilt proberen of het lukt (begrijpelijk overigens).

Heb je zelf data bij het bedrijf dat je wilt beschermen? Dan zou je nog met je eigen data kunnen testen.

Ik zou het bij het bedrijf melden en als ze er niks mee doen, dan kan je nog ergens een review schrijven om klanten te waarschuwen.

[SherlockHolmes]

sOid schreef op zaterdag 5 november 2022 @ 11:26:
Ik snap dilemma van TS eigenlijk best. Een API zal weinig mensen iets zeggen.

Mijn gut feeling (geen idee van de juridische implicaties) om dit handig aan te pakken:
Contact opnemen met het bedrijf, uitleggen wat je hebt gevonden, uitleggen wat de risico’s zijn (in gewonemensentaal, denk bijvoorbeeld aan integriteit, beschikbaarheid, vertrouwelijkheid van info), uitleggen wat misschien nog meer mogelijk is. Duidelijk benadrukken dat je geen persoonsgegevens oid hebt ingezien. Aanbieden om verder te kijken (gratis, intenties helder uitleggen). Dan wel ff (beknopte) vrijwaringsverklaring regelen.

Voor de zekerheid proton-mailboxje aanmaken en vanuit daar versturen.

Maar nogmaals, geen idee of dit juridisch de juiste route is. Ben benieuwd hoe anderen hierover denken.

Zelf vond ik onlangs een document met tientallen wachtwoorden van een stichting. Ook gemeld (anoniem). De wachtwoorden niet daadwerkelijk geprobeerd. Een week later was het document niet meer te vinden.

Precies waar ik naar zocht! Ik hoop dat je reactie de discussie iets meer inderdaad die richting op stuurt - ben benieuwd naar de reacties altevorens ik verder zal gaan. Dank!

[Hahn]

Het vervelende is eigenlijk dat ik niet weet wat legaal is. Beetje kutten met requests om te zien of iets lek is, om dan vervolgens het bedrijf meteen te helpen en informeren free of charge, is dat legaal? Staat nergens duidelijk beschreven.

Als je het niet weet en 100% veilig wilt zitten: ga niks proberen te hacken en stuur je vermoedens, al dan niet anoniem, naar het bedrijf en laat ze zelf die vermoedens bevestigen of ontkrachten. Als jij het voor ze gaat doen, hoe goed bedoeld ook, dan kunnen ze het tegen je gaan gebruiken.

[SherlockHolmes]

Hahn schreef op zaterdag 5 november 2022 @ 11:32:
[...]

Als je het niet weet en 100% veilig wilt zitten: ga niks proberen te hacken en stuur je vermoedens, al dan niet anoniem, naar het bedrijf en laat ze zelf die vermoedens bevestigen of ontkrachten. Als jij het voor ze gaat doen, hoe goed bedoeld ook, dan kunnen ze het tegen je gaan gebruiken.

Goed idee!

[eric.1]

Dit is per definitie een grijs gebied omdat de vereisten niet helder zijn afgebakend of gedefinieerd, namelijk (maatschappelijk) belang, proportionaliteit en subsidiariteit.

Je hoeft natuurlijk niet te gaan vissen voor persoonsgegevens om het risico van een open API aan te tonen. Het feit dat de API toegankelijk is zou al voldoende moeten zijn.

Wees terughoudend en meld initieel gewoon wat je hebt gevonden met de bijbehorende theoretische risico's.

[StevenK]

SherlockHolmes schreef op zaterdag 5 november 2022 @ 10:29:
Goedemorgen,

Ik ben een website tegengekomen waar meteen mijn vingers van gingen kietelen (favicon standaard van WordPress, wp-content geeft een lege pagina ipv redirect, 3 verschillende soorten requests sturen 3 verschillende errors). Het bedrijf zelf is niet gigantisch belangrijk maar is volgens mij gewoon een standaard half privaat bedrijf. Ik heb ook een REST API endpoint ontdekt (binnen 30sec) die mij precies terugstuurt op een JSON wat alle mogelijke requests etc zijn.

Tot hier zit je aan de goede kant

Nu wil ik eigenlijk even checken of dit slecht is afgesteld of echt een datalek kan gaan zijn als ik een paar requests naar /users/ stuur. Maar ik ben toch huiverig, want ik weet niet of het legaal is.

En als je dit zou gaan doen, ga je er overheen. In de basis is 'ethisch hacken' altijd strafbaar, want het is het zonder toestemming binnendringen van een geautomatiseerd werd, maar de grens wanneer je wel of niet vervolgd wordt ligt daar waar je na de ontdekking verder gaat zoeken ipv te melden.
Paar jaar geleden had Henk Krol zoiets bij de hand: hij kon medische gegevens raadplegen en hij is veroordeeld omdat hij nadat hij had gezien *dat* het kon hij *verder* ging kijken *hoeveel* hij zien. Zou hij na de eerste geslaagde poging gestopt zijn, dan was hij niet veroordeeld.

[musiman]

StevenK schreef op zaterdag 5 november 2022 @ 13:20:
[...]
In de basis is 'ethisch hacken' altijd strafbaar, want het is het zonder toestemming binnendringen van een geautomatiseerd werd, maar de grens wanneer je wel of niet vervolgd wordt ligt daar waar je na de ontdekking verder gaat zoeken ipv te melden.

Uhhh... ethisch hacken is juist NIET strafbaar. Ethisch hacken is hacken met "written consent" en een "Rules of Engagement".

Je kunt ook ethisch hacken zonder written consent, maar dan moet je voldoen aan de regels van het bedrijf. Zo heeft Microsoft een bounty programma. Zolang je je daaraan houdt en netjes een "responsible disclosure" doet wanneer je iets gevonden hebt, is er niks aan de hand.

En zoals iedereen hier al zei: TS moet gewoon even melden bij de website beheerder dat er een eventuele kwetsbaarheid is en mocht hij/zij hier behoefte aan hebben, dat TS dit kosteloos wil testen (wel met schriftelijke toestemming).

[Falcon]

@SherlockHolmes Mij is niet helder of je nu andermans data kunt terugkrijgen via deze API?

[Hahn]

musiman schreef op zaterdag 5 november 2022 @ 16:10:
[...]

Uhhh... ethisch hacken is juist NIET strafbaar. Ethisch hacken is hacken met "written consent" en een "Rules of Engagement".

Je reageert op de opmerking dat ethisch hacken altijd strafbaar zou zijn, wat het niet is, met de opmerking dat ethisch hacken niet strafbaar is, wat het wel kan zijn...

Ethisch hacken = met goede bedoelingen hacken. Of er toestemming is of niet, zit niet in de definitie van 'ethisch hacken' verweven. Dus je kan ethisch hacken mét toestemming, en dan is het legaal en dus niet strafbaar, en ethisch hacken zonder toestemming, en dan is het illegaal/strafbaar.

Falcon schreef op zaterdag 5 november 2022 @ 16:22:
@SherlockHolmes Mij is niet helder of je nu andermans data kunt terugkrijgen via deze API?

Dat is heel zijn vraag: dat weet 'ie ook nog niet, maar daar zou 'ie achter willen komen, alleen weet TS niet of dat legaal is.

[Falcon]

@SherlockHolmes @Hahn Ik denk dat je vrij snel op basis van Authorization header en evt de requestbody op je eigen data vast kunt stellen of het een anonymous toegankelijke API is.

Zover ik weet draait Wordpress standaard met een beveiligingslaag en kan je die ook niet zomaar op anonymous zetten.

Daarvoor hoef je niet te hacken, maar gewoon met F12 in je netwerktab in de browser te spieken.

[ Voor 15% gewijzigd door Falcon op 05-11-2022 16:33 ]

[musiman]

Hahn schreef op zaterdag 5 november 2022 @ 16:24:
[...]

Je reageert op de opmerking dat ethisch hacken altijd strafbaar zou zijn, wat het niet is, met de opmerking dat ethisch hacken niet strafbaar is, wat het wel kan zijn...

Ethisch hacken = met goede bedoelingen hacken. Of er toestemming is of niet, zit niet in de definitie van 'ethisch hacken' verweven. Dus je kan ethisch hacken mét toestemming, en dan is het legaal en dus niet strafbaar, en ethisch hacken zonder toestemming, en dan is het illegaal/strafbaar.
[...]

Dat is heel zijn vraag: dat weet 'ie ook nog niet, maar daar zou 'ie achter willen komen, alleen weet TS niet of dat legaal is.

White hat hacker = een ethical hacker. Deze persoon hackt enkel en alleen met toestemming.
Grey hat hacker = iemand die met goede bedoelingen hackt, maar zonder toestemming.
Black hat hacker = iemand die met kwade bedoelingen hackt.

Oftewel, wat jij zegt klopt niet.

By the way, ik geef IT security trainingen.

[Hahn]

musiman schreef op zaterdag 5 november 2022 @ 17:22:
[...]

White hat hacker = een ethical hacker. Deze persoon hackt enkel en alleen met toestemming.
Grey hat hacker = iemand die met goede bedoelingen hackt, maar zonder toestemming.
Black hat hacker = iemand die met kwade bedoelingen hackt.

Oftewel, wat jij zegt klopt niet.

By the way, ik geef IT security trainingen.

Dat je trainingen geeft ergens in hoeft niet direct te betekenen dat alles wat je zegt klopt

Ik ben geen expert in hacking, en in eerste instantie had ik wat lopen zoeken en kwam ik vooral tegen dat 'ethical hacking' voornamelijk gaat over goede bedoelingen hebben, en leek het niet zozeer direct te maken te hebben met of het legaal is of niet.

Maar nu ik er nog wat andere zoektermen op los laat, blijkt mijn interpretatie toch inderdaad niet te kloppen. I stand corrected dus

[StevenK]

musiman schreef op zaterdag 5 november 2022 @ 16:10:
[...]


Uhhh... ethisch hacken is juist NIET strafbaar. Ethisch hacken is hacken met "written consent" en een "Rules of Engagement".

'hacken' met consent is geen hacken, maar testen.

[sOid]

musiman schreef op zaterdag 5 november 2022 @ 17:22:
[...]

White hat hacker = een ethical hacker. Deze persoon hackt enkel en alleen met toestemming.
Grey hat hacker = iemand die met goede bedoelingen hackt, maar zonder toestemming.
Black hat hacker = iemand die met kwade bedoelingen hackt.

Oftewel, wat jij zegt klopt niet.

By the way, ik geef IT security trainingen.

We hebben natuurlijk nog een paar smaken


Bron: https://sectigostore.com/...f-hackers-hats-explained/

(WordPress site, trouwens... )

[ Voor 8% gewijzigd door sOid op 05-11-2022 18:27 ]

[musiman]

@sOid mooi overzicht, waar trouwens ook weer uit blijkt wat ik zei.

@Hahn dat ik ergens trainingen in geef, geeft aan dat ik ergens een expert in ben. Maar inderdaad ook ik maak fouten.

@StevenK hacken met toestemming is wél ethisch hacken. Daar gaat het juist om.

Maar ik stop nu met deze discussie want het geeft geen meerwaarde aan dit topic.

[ Voor 30% gewijzigd door musiman op 05-11-2022 18:41 ]

[Hahn]

musiman schreef op zaterdag 5 november 2022 @ 18:39:

@Hahn dat ik ergens trainingen in geef, geeft aan dat ik ergens een expert in ben. Maar inderdaad ook ik maak fouten.

offtopic:
Niet om flauw te doen, maar dat je ergens trainingen in geeft, betekent ook niet dat je er per se een expert in bent. Ik kan ook een cursus breien op touw zetten, terwijl ik niet kan breien

Natuurlijk helpt ervaring en als jij trainingen geeft en ervoor betaald krijgt, dan hoop ik (en geloof ik) zeker dat je er een expert in bent, en in deze had je gelijk, maar ik ben altijd een beetje allergisch voor 'geloof mij nou maar, ik heb ervaring'-opmerkingen. Je kan al 20 jaar wiskundeles geven, maar als je 1+1 = 4 zegt, is het nog steeds fout, ervaring of niet

musiman schreef op zaterdag 5 november 2022 @ 18:39:

@StevenK hacken met toestemming is wél ethisch hacken. Daar gaat het juist om.

StevenK z'n punt is dat de definitie van 'hacken' is dat het ongeoorloofd is:

quote: https://www.juridischwoordenboek.nl/?zoek=hacken

hacking / hacken / gehackt
strafrecht - Engels: strafbaar feit door zonder toestemming binnen te dringen in beveiligde computersystemen en/of daar bestanden te vernielen of te beschadigen.

En in die zin heeft 'ie gelijk. Legaal hacken is een beetje als legale criminaliteit

[ Voor 27% gewijzigd door Hahn op 05-11-2022 18:52 ]

[StevenK]

https://www.om.nl/onderwe...sclosure---ethisch-hacken hier overigens nog een stukje duiding vanuit het Openbaar Ministerie.