Ethical hacking a disclosure

Ethical hacking v kocke: zodpovedné oznamovanie zraniteľností

Ethical hacking (etické testovanie) je riadené a povolené skúmanie bezpečnosti systémov s cieľom identifikovať slabiny skôr, než ich zneužije útočník. Kľúčovým pilierom je zodpovedné oznamovanie zraniteľností (Coordinated/Responsible Vulnerability Disclosure, CVD/RVD): proces, v ktorom výskumník a organizácia spoločne bezpečne zdieľajú informácie, minimalizujú riziko a podporujú nápravu. Tento článok ponúka rámec pre výskumníkov aj organizácie, ako to robiť zákonne, bezpečne a profesionálne.

Definície a rámce: o čom hovoríme

• Vulnerability Disclosure Policy (VDP): verejný dokument, ktorý určuje, ako nahlasovať zraniteľnosti, čo je v rozsahu a aké sú pravidlá.
• Coordinated Vulnerability Disclosure (CVD): koordinovaný proces medzi reportérom, dodávateľom a prípadne CSIRT/PSIRT tímom s jasnými termínmi a embargom.
• Ethical hacker / bezpečnostný výskumník: osoba testujúca so súhlasom, vymedzeným rozsahom a s cieľom zlepšiť bezpečnosť.
• PSIRT/CSIRT: (Product/Computer Security Incident Response Team) interný alebo národný tím na príjem a riešenie hlásení.

Princípy etického testovania

• Legitímny súhlas a rozsah: testujte len to, čo máte výslovne povolené a dokumentované. Bez súhlasu netestujte.
• Minimalizácia rizika a dopadu: žiadne prerušenia služby, žiadna exfiltrácia dát; používajte najšetrnejšie metódy potrebné na preukázanie problému.
• Integrita dôkazov: zachovajte presnú, ale neinvazívnu dokumentáciu, bez zdieľania citlivých údajov.
• Zodpovedné publikovanie: publikujte až po dostupnej náprave alebo po uplynutí dohodnutej lehoty a v rozsahu, ktorý nezvyšuje riziko zneužitia.

Právny a etický kontext

Etické testovanie stojí na súhlase vlastníka systému a na zásadách „dobrého občana“. Zmluvné dojednania (VDP, bug bounty pravidlá) určujú hranice, povolené techniky, podmienky odmeny a „safe harbor“ – záväzok, že organizácia nebude viesť právne kroky proti výskumníkovi, ktorý dodrží pravidlá. Pri spracovaní osobných údajov platia zásady minimalizácie a účelovosti – nikdy nezhromažďujte viac, než je nutné na dôkaz existencie chyby.

Elementy kvalitnej VDP (pre organizácie)

• Viditeľnosť: umiestnenie na /.well-known/security.txt a odkazy v pätičke webu/apky.
• Rozsah: explicitný zoznam domén, aplikácií, API, mobilných balíkov a verzií, plus „do-not-test“ zóna (napr. produkčné e-maily, tretie strany bez súhlasu).
• Pravidlá: zákaz DoS, sociálneho inžinierstva, prístupu k osobným dátam; povolené sú len tie testy, ktoré nespôsobia výpadky.
• Kanály a kľúče: e-mail PSIRT/CSIRT, PGP kľúč na šifrované reporty, alternatíva cez formulár alebo platformu.
• Termíny: potvrdenie prijatia (napr. do 3 pracovných dní), prvá odpoveď s triage (do 7 dní), zverejnenie opravy (cieľ do 90 dní podľa závažnosti).
• Safe harbor: jasná klauzula o zákaze odvetných opatrení voči výskumníkom, ktorí konajú v rámci pravidiel.
• Uznanie a odmena: zoznam hall-of-fame, kritériá odmien (ak existujú), spôsob atribúcie.

Etický postup pre výskumníkov

1. Overte rozsah a súhlas: prečítajte si VDP/bug bounty pravidlá a uložte si ich verziu (časová pečiatka).
2. Plán testov: zvoľte neinvazívne prístupy; nepoužívajte techniky, ktoré by mohli poškodiť dáta či dostupnosť.
3. Dokumentujte reprodukciu: zaznamenajte kroky v bezpečnej podobe: čo ste videli, aká chyba, aký kontext (verzia, endpoint), bez zdielania tajomstiev.
4. Privátne nahlásenie: pošlite report cez uvedený kanál; zašifrujte citlivé detaily; ponúknite čas na opravu.
5. Koordinácia a trpezlivosť: spolupracujte s PSIRT na triage a opravách; rešpektujte embargo dohodnuté vopred.
6. Zodpovedné zverejnenie: po oprave (alebo po uplynutí lehoty) publikujte stručný technický opis zameraný na dopad a prevenciu, nie na návod k zneužitiu.

Štruktúra kvalitného bezpečnostného reportu

• Prehľad: názov problému, dotknutá služba, čas a prostredie (prod/test), verzia klienta/servera.
• Popis a dopad: čo je zraniteľnosť a čo môže spôsobiť (eskalácia oprávnení, únik údajov, falšovanie transakcií).
• Reprodukcia (bez citlivých údajov): jasné kroky/pozorovania a minimálny dôkaz; žiadne zdieľanie produkčných tokenov či osobných dát.
• Rozsah a obmedzenia: na ktorých účtoch/doménach/konfiguráciách sa javí problém.
• Návrhy mitigácie: vysokoúrovňové odporúčania (overenie vstupov, hardening hlavičiek, správne ACL) bez exploit kódu.
• Kontakt a kľúč: spôsob, ako vás zastihnúť, a váš PGP kľúč na následnú komunikáciu.

Triage a klasifikácia (pre organizácie)

• Overenie: potvrďte prijatie a priraďte interný identifikátor.
• Závažnosť: použite štandardizované skórovanie (napr. CVSS) a mapujte na interné SLA pre opravu.
• Korelačný kontext: zistite, či nejde o duplicitný problém, a či neexistujú súvisiace zraniteľnosti v susedných moduloch.
• Rozhodnutie: opravovať, zmierniť riziko (mitigate) alebo odmietnuť (s odôvodnením).

Komunikácia a koordinácia

• Bezpečný kanál: používajte šifrovaný e-mail/portál; citlivé prílohy chráňte heslom a mimo e-mailu neposielajte tajomstvá.
• Jasné termíny: navrhnite realistický, no nie nekonečný čas na opravu; informujte o priebehu (prijaté → triage → oprava → nasadenie → zverejnenie).
• Embargo a zverejnenie: koordinujte dátum a rozsah publikácie; sústreďte sa na poučenia a prevenciu, nie na demonštráciu.

Bezpečnosť dát počas výskumu

• Data minimization: nezískavajte ani neukladajte reálne osobné či finančné údaje; používajte testovacie identity.
• Bezpečná evidencia: poznámky a screenshoty uchovávajte šifrovane; po ukončení procesu citlivé materiály zlikvidujte.
• Žiadne zdieľanie tretím stranám: report posielajte len určenému PSIRT/CSIRT; nepublikujte na fórach pred dohodnutým termínom.

Bug bounty vs. VDP

• VDP: rámec pre prijímanie hlásení bez povinnej odmeny; cieľom je bezpečnosť a proces.
• Bug bounty: motivuje odmenami; vyžaduje jasné pravidlá, triage kapacitu a finančné krytie. Odmena nie je nárokovateľná bez splnenia kritérií.

„Safe harbor“: čo by mala garantovať organizácia

• Bez právnych krokov: voči výskumníkom, ktorí konali v rámci VDP, bez úmyselnej škody a ktorí okamžite nahlásili zistenia.
• Spolupráca s tretími stranami: ak je dotknutý dodávateľ, organizácia sprostredkuje koordináciu, aby výskumník nemusel riešiť zložité vlastnícke vzťahy.
• Ochrana identity: možnosť anonymného alebo pseudonymného hlásenia; rešpektovanie želania o neuvedení mena.

Čo nezahrnúť do reportov a testov

• Živé citlivé dáta: osobné, zdravotné, finančné údaje, heslá, kľúče, tokeny – ani ako prílohy, ani ako ukážky.
• Pokyny na zneužitie: detailné kroky, skripty, payloady a automatizované nástroje na obchádzanie ochrany.
• Testy s výpadkom: nevyvolávajte DoS, nepreťažujte systémy, neobchádzajte limity, ktoré chránia dostupnosť.

Post-remediácia a zverejnenie

• Oprava a validácia: po nasadení záplaty validuje PSIRT aj reportér, že problém bol vyriešený bez regresií.
• Bulletin: stručné oznámenie pre používateľov (vplyv, verzie, kroky na aktualizáciu). Ak sa prideľuje identifikátor, uvedie sa (napr. CVE).
• Poučenia: technické aj procesné – zmena kontrol, testovacích prípadov, CI/CD brán; aktualizácia checklistov.

Rola národných a odvetvových CSIRT

Ak sa organizácia nevyjadruje alebo ide o kritickú infraštruktúru, výskumník môže požiadať o mediáciu CSIRT/PSIRT. Tie pomáhajú s koordináciou, verifikáciou a niekedy aj s bezpečným zverejnením.

Šablóna stručného bezpečnostného reportu

• Predmet: [Zraniteľnosť] – produkt/služba – verzia – dopad
• Súhrn: jednovetový opis problému a dopadu.
• Prostredie: URL/doména, verzia aplikácie/OS, typ účtu.
• Pozorovanie: čo sa deje a čo sa má diať (očekávané správanie).
• Minimálny dôkaz: bezpečný spôsob reprodukcie bez citlivých dát.
• Dopad a riziko: stručná kvalifikácia (vysoké/stredné/nízke) s odôvodnením.
• Návrh mitigácie: vysokoúrovňové odporúčania.
• Kontakt a PGP: ako vás zastihnúť; odkaz na verejný kľúč.

Interná príprava organizácie: aby VDP fungovala

• Kanál a nástroje: ticketing s bezpečným príjmom, šablóny odpovedí, PGP integrácia.
• Kapacity triage: rota duty, jasné SLA, eskalácie na vlastníkov komponentov.
• Zverejňovanie: proces pre advisories, koordinácia s PR/Legal/DPO, uložené vzory textov.
• Meranie: MTTT (time-to-triage), MTTR (time-to-remediate), podiel zraniteľností objavených internými kontrolami vs. externými reportmi.

Etické zásady komunikácie

• Rešpekt a profesionalita: bez konfrontačného tónu; jasné fakty a spoločný cieľ zvýšiť bezpečnosť.
• Transparentnosť: ak oprava trvá dlhšie, priebežne informujte; ak sa problém neuzná, poskytnite technické dôvody.
• Uznanie zásluh: kredit výskumníkovi, ak si to želá; férové zaobchádzanie bez sľubov, ktoré nemožno splniť.

Kontrolný zoznam pre výskumníka

• Mám povolenie a poznám rozsah VDP?
• Dokážem problém opísať bez zdieľania citlivých údajov?
• Posielam report cez bezpečný kanál (PGP, portál)?
• Rešpektujem embargá a neohrozujem dostupnosť systému?

Kontrolný zoznam pre organizáciu

• Máme viditeľnú VDP a security.txt s kontaktnými údajmi a PGP kľúčom?
• Potvrdzujeme prijatie reportov do 3 pracovných dní a poskytujeme triage do 7?
• Máme definované SLA pre opravy podľa závažnosti a proces koordinovaného zverejnenia?
• Uplatňujeme „safe harbor“ a transparentne komunikujeme odmeny/uznania?

Zodpovedné oznamovanie zraniteľností je most medzi svetom výskumu a svetom prevádzky. Tam, kde sú jasné pravidlá, bezpečné kanály, primerané termíny a kultúra rešpektu, vzniká udržateľný ekosystém: výskumníci sú motivovaní, organizácie sú odolnejšie a používatelia sú v bezpečí. Ethical hacking je v tomto ponímaní nie o „lámaní“ systémov, ale o profesionálnej spolupráci na ich posilnení.