เงาของ CFAA: เมื่อการเปิดเผยอย่างมีความรับผิดชอบกลายเป็นกับดักทางกฎหมาย

เกิดอะไรขึ้น

ในการพัฒนาที่น่าตกใจเมื่อเร็วๆ นี้ นักวิจัยด้านความปลอดภัยที่มีชื่อเสียงพบว่าตนเองติดกับดักทางกฎหมายภายใต้พระราชบัญญัติการฉ้อโกงและการใช้คอมพิวเตอร์ในทางที่ผิด (CFAA) หัวใจของปัญหาเกิดจากการที่พวกเขาทำการสแกนพอร์ทัลของผู้ขายบุคคลที่สามอย่างเชิงรุก ซึ่งเป็นระบบที่สำคัญต่อการดำเนินงานของห่วงโซ่อุปทานของ QSR รายใหญ่ แม้จะระบุและเปิดเผยช่องโหว่ที่สำคัญอย่างมีความรับผิดชอบ แต่นักวิจัยกลับถูกกล่าวหาว่าเข้าถึงโดยไม่ได้รับอนุญาต

ระเบียบวิธีของนักวิจัยเกี่ยวข้องกับการใช้เครื่องมือสแกนช่องโหว่อัตโนมัติ ซึ่งเป็นแนวทางปฏิบัติทั่วไปในการประเมินความปลอดภัย เพื่อตรวจสอบหาจุดอ่อนทั่วไป เป้าหมายคือเว็บแอปพลิเคชันที่เปิดเผยซึ่งออกแบบมาสำหรับการโต้ตอบกับผู้ขาย ซึ่งขาดการอนุญาตที่ชัดเจนสำหรับการทดสอบภายนอก การเปิดเผยอย่างมีความรับผิดชอบ รวมถึงหลักฐานแนวคิดโดยละเอียดและคำแนะนำในการแก้ไขปัญหา ถูกตอบโต้ด้วยการข่มขู่ทางกฎหมายแทนที่จะได้รับความขอบคุณในทันที

เหตุการณ์นี้ไม่ใช่เหตุการณ์ที่เกิดขึ้นโดดเดี่ยว สถานการณ์ที่คล้ายกันนี้เคยเกิดขึ้นมาแล้ว โดยมีนักวิจัยที่ระบุช่องโหว่ที่สามารถนำไปใช้ประโยชน์ได้โดยสุจริตในระบบต่างๆ ตั้งแต่แพลตฟอร์มความภักดีของลูกค้าของร้านค้าปลีก Fortune 500 ไปจนถึงพอร์ทัลข้อมูลสาธารณะของหน่วยงานรัฐบาล สิ่งที่เชื่อมโยงกันคือการไม่มีข้อตกลงการอนุญาตที่ลงนามล่วงหน้า ซึ่งเปลี่ยนการค้นพบที่เป็นประโยชน์ให้กลายเป็นความรับผิดทางกฎหมาย

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

การเกิดซ้ำของรูปแบบเหตุการณ์นี้อย่างต่อเนื่องชี้ให้เห็นถึงความไม่ลงรอยกันพื้นฐานระหว่างกรอบกฎหมาย ความเป็นจริงในการดำเนินงานทางธุรกิจ และจริยธรรมของชุมชนความปลอดภัย CFAA ซึ่งเป็นกฎหมายที่ออกในปี 1986 พยายามที่จะตีความแนวปฏิบัติการรักษาความปลอดภัยทางไซเบอร์สมัยใหม่ โดยเฉพาะอย่างยิ่งการสแกนอัตโนมัติและการค้นพบช่องโหว่ ภายในขอบเขตเดิมของ 'การเข้าถึงโดยไม่ได้รับอนุญาต' ภาษาที่กว้างขวางมักจะทำให้การกระทำที่ผู้เชี่ยวชาญด้านความปลอดภัยพิจารณาว่าเป็นจริยธรรมและจำเป็นกลายเป็นอาชญากรรม

องค์กรต่างๆ โดยเฉพาะอย่างยิ่งผู้ที่พึ่งพาผู้ขายบุคคลที่สามเป็นอย่างมาก มักจะขาดนโยบายการอนุญาตที่ครอบคลุมสำหรับการทดสอบความปลอดภัยภายนอก สัญญาผู้ขายมักจะละเว้นข้อกำหนดที่ชัดเจนสำหรับนักวิจัยด้านความปลอดภัย ซึ่งสร้างพื้นที่สีเทาทางกฎหมาย ช่องว่างนี้ยิ่งซับซ้อนขึ้นโดยทีมกฎหมายภายใน ซึ่งหากไม่มีกรอบนโยบายที่ชัดเจน จะเลือกที่จะปกป้องทรัพย์สินขององค์กรโดยการอ้างอิงกฎหมายที่เข้มงวด

นอกจากนี้ วัฒนธรรม 'เห็นอะไร บอกอะไร' ที่แพร่หลายในชุมชนความปลอดภัยขัดแย้งโดยตรงกับการตีความทางกฎหมายของ 'ความยินยอมโดยนัย' นักวิจัยมักจะสันนิษฐานว่าการเปิดเผยอย่างมีความรับผิดชอบ โดยเฉพาะอย่างยิ่งสำหรับช่องโหว่ที่สำคัญ จะได้รับการต้อนรับ โดยไม่คำนึงถึงผลกระทบทางกฎหมายของการเข้าถึงระบบโดยไม่ได้รับอนุญาตอย่างชัดเจนและเป็นเอกสาร สมมติฐานในแง่ดีนี้มักจะทำให้เสียค่าใช้จ่ายสูง

กลยุทธ์ของผู้โจมตีทีละขั้นตอน

การทำความเข้าใจกลยุทธ์ของผู้กระทำความผิดที่แท้จริงเน้นย้ำถึงความขัดแย้งของการลงโทษนักวิจัยที่เป็นประโยชน์ ผู้โจมตีที่มีความซับซ้อนซึ่งมุ่งเป้าไปที่การเข้าถึงเบื้องต้น มักจะเริ่มต้นด้วยการสอดแนมอย่างกว้างขวาง (MITRE ATT&CK T1592, T1595) ซึ่งรวมถึง OSINT เกี่ยวกับองค์กรเป้าหมายและผู้ขาย การระบุสินทรัพย์ที่เปิดเผย และการทำแผนที่ขอบเขตเครือข่าย

ถัดไป พวกเขาจะใช้เครื่องมือสแกนอัตโนมัติ คล้ายกับที่นักวิจัยด้านจริยธรรมใช้ เพื่อระบุช่องโหว่ทั่วไป (เช่น CVE-2023-XXXX สำหรับเว็บเซิร์ฟเวอร์ที่ล้าสมัย, การฉีด SQL ผ่าน OWASP Top 10 A03:2021 หรือการกำหนดค่าที่ไม่ถูกต้อง เช่น คีย์ API ที่เปิดเผย) ซึ่งแตกต่างจากนักวิจัย เป้าหมายของพวกเขาคือการแสวงหาประโยชน์ ไม่ใช่การเปิดเผย

เมื่อระบุจุดอ่อนในพอร์ทัลของผู้ขายได้แล้ว อาจเป็นช่องโหว่การยกเลิกการจัดลำดับที่ยังไม่ได้แก้ไข หรือกลไกการรับรองความถูกต้องที่อ่อนแอ ผู้โจมตีก็จะพยายามเข้าถึงเบื้องต้น (T1133, T1078) สิ่งนี้อาจนำไปสู่การยกระดับสิทธิ์ (T1068, T1055), การเคลื่อนที่ในแนวนอนภายในเครือข่ายของผู้ขาย (T1021) และท้ายที่สุด การเข้าถึงข้อมูลที่ละเอียดอ่อน หรือความสามารถในการขัดขวางการดำเนินงาน ความแตกต่างที่สำคัญ: เจตนาของพวกเขาคือการประสงค์ร้าย และพวกเขาจะไม่ติดต่อผู้ขายเพื่อแก้ไขปัญหาอย่างแน่นอน

สิ่งที่ผู้ป้องกันพลาดไป

ในเหตุการณ์ที่อธิบายไว้ ผู้ป้องกัน ทั้ง QSR และผู้ขาย พลาดการป้องกันและนโยบายหลายชั้นอย่างเห็นได้ชัด โดยพื้นฐานแล้ว มีความล้มเหลวในการสร้างโปรแกรมการเปิดเผยช่องโหว่ (VDP) หรือโปรแกรม Bug Bounty ที่ชัดเจนและเปิดเผยต่อสาธารณะ โปรแกรมดังกล่าวเป็นช่องทางที่ได้รับอนุญาตสำหรับนักวิจัยในการรายงานสิ่งที่ค้นพบ ซึ่งช่วยลดความเสี่ยงทางกฎหมายสำหรับทั้งสองฝ่าย

ในทางเทคนิค พอร์ทัลของผู้ขายเองก็มีจุดอ่อนด้านความปลอดภัยทั่วไปที่ควรได้รับการระบุผ่านการทดสอบความปลอดภัยเชิงรุก ซึ่งอาจรวมถึงซอฟต์แวร์ที่ยังไม่ได้แก้ไข การกำหนดค่าที่ไม่ปลอดภัย หรือการควบคุมการเข้าถึงที่อ่อนแอ ซึ่งล้วนเป็นตัวบ่งชี้ถึงท่าทางความปลอดภัยที่ไม่เพียงพอ การทดสอบการเจาะระบบที่ได้รับอนุญาตเป็นประจำจะเปิดเผยข้อบกพร่องเหล่านี้ก่อนที่นักวิจัยภายนอกหรือผู้โจมตีจะทำได้

ที่สำคัญ การตอบสนองขององค์กรต่อการเปิดเผยนั้นขับเคลื่อนด้วยกฎหมายมากกว่าความปลอดภัย แทนที่จะตรวจสอบสิ่งที่ค้นพบและเริ่มการแก้ไขปัญหาทันที จุดสนใจเปลี่ยนไปที่ลักษณะที่ไม่ได้รับอนุญาตของการเข้าถึง สิ่งนี้เน้นย้ำถึงช่องว่างในแผนการตอบสนองต่อเหตุการณ์ ซึ่งมักจะให้ความสำคัญกับการป้องกันทางกฎหมายมากกว่าการบรรเทาภัยคุกคามในทันที แม้จะมีผลกระทบด้านความปลอดภัยที่ชัดเจนก็ตาม

"ความขัดแย้งนั้นรุนแรง: เราใช้เงินหลายล้านเพื่อป้องกันผู้ร้าย แต่บางครั้งก็ปฏิบัติต่อคนดีที่พยายามช่วยเราด้วยค้อนทางกฎหมายแบบเดียวกัน"

การไม่มีการอนุญาตที่ชัดเจน

การละเว้นที่ชัดเจนที่สุดคือการไม่มีการอนุญาตที่ชัดเจนสำหรับการทดสอบความปลอดภัยที่กำหนดไว้ล่วงหน้า สิ่งนี้ขยายไปไกลกว่าป้าย 'ห้ามบุกรุก' ง่ายๆ แต่ต้องใช้จุดยืนเชิงรุก องค์กรต่างๆ โดยเฉพาะอย่างยิ่งผู้ที่มีระบบนิเวศของผู้ขายที่ซับซ้อน ต้องกำหนดว่าอะไรคือการทดสอบที่ได้รับอนุญาตและสื่อสารอย่างไร

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อป้องกันเหตุการณ์ที่คล้ายกันและปรับปรุงท่าทางความปลอดภัยอย่างเชิงรุก CISOs และวิศวกรความปลอดภัยควรดำเนินการดังต่อไปนี้:

• สร้างโปรแกรมการเปิดเผยช่องโหว่อย่างเป็นทางการ (VDP): เผยแพร่แนวทางที่ชัดเจนว่านักวิจัยด้านความปลอดภัยสามารถรายงานช่องโหว่อย่างมีความรับผิดชอบได้อย่างไรโดยไม่ต้องกลัวการตอบโต้ทางกฎหมาย รวมถึงวิธีการติดต่อ ขอบเขต และกรอบเวลาการตอบสนอง
• ใช้กรอบการบริหารความเสี่ยงบุคคลที่สาม (TPRM) ที่แข็งแกร่ง: กำหนดให้มีการประเมินความปลอดภัย รวมถึงการทดสอบการเจาะระบบและการสแกนช่องโหว่ สำหรับผู้ขายที่สำคัญทั้งหมด ตรวจสอบให้แน่ใจว่าสัญญาได้กำหนดความรับผิดชอบและความคาดหวังด้านความปลอดภัยไว้อย่างชัดเจน
• ตรวจสอบและอัปเดตสัญญาผู้ขายเป็นประจำ: ใส่ข้อกำหนดที่อนุญาตและส่งเสริมการทดสอบความปลอดภัยที่ได้รับอนุญาต โดยกำหนดขอบเขตและเงื่อนไข ตรวจสอบให้แน่ใจว่าข้อกำหนดเหล่านี้สอดคล้องกับนโยบายความปลอดภัยภายใน
• ทดสอบความปลอดภัยเชิงรุกของสินทรัพย์ที่เปิดเผยต่อสาธารณะทั้งหมด: ทำการสแกนช่องโหว่และการทดสอบการเจาะระบบที่ได้รับอนุญาตอย่างต่อเนื่องบนแอปพลิเคชันที่หันหน้าออกภายนอกทั้งหมด รวมถึงพอร์ทัลของผู้ขาย มุ่งเน้นไปที่ OWASP Top 10, SANS Top 25 และ CVE ที่เกี่ยวข้อง
• ฝึกอบรมทีมกฎหมายและการตอบสนองต่อเหตุการณ์: ให้ความรู้แก่ที่ปรึกษาทางกฎหมายเกี่ยวกับความแตกต่างของการแฮกอย่างมีจริยธรรมและการเปิดเผยอย่างมีความรับผิดชอบ รวมแนวทางที่เน้นความปลอดภัยเป็นอันดับแรกไว้ในแผนการตอบสนองต่อเหตุการณ์สำหรับการเปิดเผยภายนอก
• กำหนดขอบเขตที่ชัดเจนสำหรับการ 'เข้าถึงที่ได้รับอนุญาต': ใช้การควบคุมทางเทคนิค เช่น WAFs และระบบตรวจจับการบุกรุกที่สามารถแยกความแตกต่างระหว่างการสแกนที่ไม่เป็นอันตรายและกิจกรรมที่เป็นอันตราย แต่ก็มีนโยบายที่ชัดเจนเกี่ยวกับสิ่งที่ถือเป็นการพยายาม 'ค้นพบ' ที่ยอมรับได้

การทดสอบเชิงรุกสมัยใหม่จะตรวจพบสิ่งนี้ได้อย่างไร

สถานการณ์ทั้งหมดนี้สามารถป้องกันได้ด้วยโปรแกรมความปลอดภัยเชิงรุกที่สมบูรณ์แบบ ลองนึกภาพระบอบการทดสอบที่ต่อเนื่องและมีการควบคุม ซึ่งทุกการมีส่วนร่วมจะถูกควบคุมอย่างพิถีพิถัน ก่อนที่จะมีการส่งแพ็กเก็ตเดียว การอนุญาตที่ลงนาม ซึ่งให้รายละเอียดขอบเขต ระยะเวลา และบันทึกการตรวจสอบ จะถูกจัดทำขึ้นอย่างแน่นหนา สิ่งนี้ทำให้มั่นใจว่ากิจกรรมทั้งหมดได้รับการอนุมัติทางกฎหมายและโปร่งใส กลไกการทดสอบ ไม่ว่าจะขับเคลื่อนโดยมนุษย์หรืออัตโนมัติ ทำงานอย่างเคร่งครัดภายใต้พารามิเตอร์ที่กำหนดเหล่านี้ โดยตรวจสอบหาช่องโหว่ที่นักวิจัยค้นพบอย่างเป็นระบบ จากนั้นสิ่งที่ค้นพบจะถูกนำเสนอภายในองค์กร ทำให้สามารถแก้ไขปัญหาเชิงรุกได้โดยไม่ต้องเปิดเผยต่อสาธารณะหรือความคลุมเครือทางกฎหมาย แนวทางนี้เปลี่ยนความรับผิดทางกฎหมายที่อาจเกิดขึ้นให้เป็นการปรับปรุงความปลอดภัยที่นำไปปฏิบัติได้ ส่งเสริมสภาพแวดล้อมที่ช่องโหว่ได้รับการค้นพบและแก้ไขตามเงื่อนไขขององค์กร

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ทางกฎหมายที่เกี่ยวข้องกับการวิจัยด้านความปลอดภัยทางไซเบอร์ยังคงเปลี่ยนแปลงตลอดเวลา คาดว่าจะมีการกดดันอย่างต่อเนื่องต่อหน่วยงานนิติบัญญัติเพื่อปรับปรุงกฎหมาย เช่น CFAA โดยผลักดันให้มีข้อกำหนด 'โดยสุจริต' ที่ปกป้องนักวิจัยด้านจริยธรรม การมุ่งเน้นของฝ่ายบริหารของ Biden ในด้านความปลอดภัยของโครงสร้างพื้นฐานที่สำคัญมีแนวโน้มที่จะเพิ่มการตรวจสอบช่องโหว่ในห่วงโซ่อุปทาน บังคับให้องค์กรต้องเสริมสร้างกรอบการบริหารความเสี่ยงบุคคลที่สามของตน นอกจากนี้ การนำ AI มาใช้ในด้านความปลอดภัยเชิงรุกและเชิงรับที่เพิ่มขึ้นจะนำมาซึ่ง dilemna ด้านจริยธรรมและกฎหมายใหม่ๆ องค์กรต้องติดตามการเปลี่ยนแปลงเหล่านี้ โดยปรับนโยบายและการควบคุมทางเทคนิคของตนอย่างเชิงรุกเพื่อรับมือกับสภาพแวดล้อมภัยคุกคามและกฎระเบียบที่เปลี่ยนแปลงไป การสนทนาจะเปลี่ยนจากการที่ จะ พบช่องโหว่ ไปสู่ วิธีการ ที่พบ โดยใคร และภายใต้กรอบกฎหมายใดมากขึ้นเรื่อยๆ