Zodpovedné odhaľovanie zraniteľností

Čo je etický hacking a prečo na ňom záleží

Etický hacking je systematické a povolené testovanie bezpečnosti systémov za účelom identifikácie zraniteľností a ich zodpovedného nahlásenia. Na rozdiel od škodlivého hackingu má jasný mandát, definovaný rozsah a pravidlá správania. Cieľom je zníženie rizika a zlepšenie odolnosti – nie senzácia, nie reputačný tlak. Kľúčovým prvkom je zodpovedné oznamovanie zraniteľností (CVD – Coordinated Vulnerability Disclosure), ktoré nastavuje férové očakávania medzi výskumníkom, prevádzkovateľom a prípadne koordinátorom (napr. CSIRT/CERT).

Etické a právne piliere: čo odlišuje výskum od útoku

• Autorizácia a súhlas: Testovanie prebieha na základe explicitného súhlasu alebo VDP (Vulnerability Disclosure Policy) so safe harbor doložkou.
• Najmenší dopad: „Do no harm“ – minimalizovať riziko výpadku, integritu dát a súkromie používateľov.
• Proporcionalita: Dokazovať existenciu zraniteľnosti s najnižšou potrebnou intenzitou (žiadne zbytočné eskalácie alebo exfiltrácie).
• Transparentnosť a dôkaznosť: Presná dokumentácia krokov, času, prostredia a artefaktov.
• Zachovanie dôvernosti: Detaily zraniteľnosti sa nezverejňujú pred opravou alebo pred uplynutím dohodnutej lehoty.

VDP, bug bounty a CVD: ako sa to líši

• VDP (Vulnerability Disclosure Policy): verejná politika organizácie, ako prijíma hlásenia. Nepodmieňuje odmenu, ale obsahuje kontakty, rozsah a „safe harbor“.
• Bug bounty program: motivuje finančnou odmenou, stanovuje kvalifikačné kritériá, často beží na platforme. Nie je to nárokovateľné právo; pravidlá sú záväzné.
• CVD (Coordinated Vulnerability Disclosure): koordinovaný proces medzi výskumníkom, organizáciou a prípadne koordinátorom (CSIRT), vrátane časovej osi a spôsobu zverejnenia.

Rozsah a pravidlá hry: pred testom, počas, po teste

1. Pred testom: identifikujte cieľ, overte VDP/ToS, vyžiadajte písomný súhlas, dohodnite okná (maintenance windows), zakážte techniky s vysokým dopadom (DoS, volumetria, social engineering, fyzický prienik) ak nie sú explicitne povolené.
2. Počas testu: logujte čas, IP, nástroje a vysokorizikové akcie; nepoužívajte reálne osobné údaje; nepokúšajte sa o perzistenciu ani laterálny pohyb mimo dohodnutého rozsahu.
3. Po teste: zabezpečte dôverné odovzdanie nálezov, zničte dočasné dáta, poskytnite reprodukovateľné kroky a návrhy nápravy.

Minimalistický dôkaz konceptu: ako ukázať problém bez škody

PoC má byť dostatočný na reprodukciu, no neškodný. Namiesto exfiltrácie reálnych databáz použite:

• čítanie neškodného systémového artefaktu (napr. verzia aplikácie),
• vytvorenie izolovaného testovacieho záznamu s náhodným identifikátorom,
• „echo“ alebo „time“ akcie namiesto spúšťania škodlivej logiky.

Pri chybe typu IDOR napr. preukážte prístup k vlastnému testovaciemu záznamu s modifikovaným identifikátorom – bez sťahovania cudzích dát.

Citlivé dáta a súkromie: červené čiary

• Nezhromažďovať PII, zdravotné, finančné a autentifikačné tajomstvá; ak sa náhodne objavia, okamžite zastaviť a nešíriť.
• Žiadne účty zákazníkov na testovanie – použite vlastné testovacie identity alebo anonymizované sandboxy.
• Šifrované úložisko a krátke retenčné lehoty pre dočasné artefakty; preferujte hashované dôkazy (screenshoty bez citlivých polí).

Hodnotenie závažnosti: spoločný jazyk pre prioritu

Na priorizáciu nápravy sa používa štandardizované skórovanie (napr. CVSS) a klasifikácia vplyvu:

• Dopad: dôvernosť (C), integrita (I), dostupnosť (A), prípadne súkromie, finančný alebo regulatorný dosah.
• Využiteľnosť: lokálny vs. vzdialený, bez interakcie vs. vyžaduje interakciu, potreba autentizácie.
• Rozsah: ovplyvňuje iba časť systému alebo umožňuje prienik do iných domén.

Výstupom má byť zrozumiteľné odôvodnenie, prečo je riziko vysoké/stredné/nízke a aký je odporúčaný „fix window“.

Koordinácia a časové osi: ako nastaviť očakávania

• Potvrdenie prijatia: do 3–7 dní od hlásenia.
• Predbežné zhodnotenie: do 14 dní – kvalifikácia, či je problém reprodukovateľný a v rozsahu.
• Oprava a validácia: typicky do 30–90 dní podľa dopadu; pri aktívnom zneužívaní rýchlejší proces a dočasné mitigácie.
• Koordinované zverejnenie: po nasadení opravy, s atribúciou výskumníka a technickým advisory, prípadne pridelené identifikátory (CVE).

Komunikačný protokol: od prvého emailu po advisory

Kontaktujte security@domena, adresu z VDP alebo formulár. Správa má byť stručná, faktická, bez zdieľania exploitačných detailov cez nešifrované kanály. Vhodná štruktúra:

• Predmet: „Zodpovedné hlásenie zraniteľnosti – [názov systému] – [krátky opis]“
• Úvod: kto ste, odkaz na VDP a potvrdenie, že rešpektujete pravidlá.
• Stručný opis: kategória chyby, odhad dopadu, podmienky (autentizácia, interakcia).
• Kroky reprodukcie (v skratke): prostredie, endpoint/funkcia, minimálny PoC (bez citlivých údajov).
• Navrhované mitigácie: odporúčania na konfiguráciu, validáciu vstupov, prístupové politiky.
• Kontakty a PGP: preferovaný šifrovaný kanál pre detaily.

Úloha koordinátorov (CSIRT/CERT) a ako pomáhajú

Keď dodávateľ nereaguje alebo ide o viac-stranný problém, do procesu vstupuje koordinačný tím. Pomôže s triage, validáciou, koordináciou termínov, prípadne s publikáciou advisory. Cieľom je udržať rovnováhu medzi záujmom verejnosti a bezpečným oknom na opravu.

Bezpečnostné odporúčania pre organizácie s VDP

• Jasný VDP na vlastnej doméne: rozsahy, zakázané techniky, kontakty, PGP kľúč, SLA na reakcie.
• Safe harbor klauzuly: záväzok nepostihovať dobrú vieru, ak sa dodržal VDP a výskumník nespôsobil škodu.
• Interný triage proces: kto prijíma hlásenia, ako sa priraďujú, ako sa validujú a ako sa komunikuje späť.
• Oceňovanie: verejná „hall of fame“, prípadne odmeny; transparentné kritériá kvalifikácie.
• Redakcia a logovanie: všetky interné artefakty anonymizujte; chráňte dôvernosť reportu a metadát.

Čo do reportu patrí a čo nie

• Patrí: presný opis problému, dopad, minimálne kroky reprodukcie, environment (verzia, konfigurácia), dôkazy bez PII, návrhy mitigácie.
• Neplatí: skeny plnej infraštruktúry bez súhlasu, dumpy databáz, zdieľanie hesiel/tokenov, neoverené hypotézy, marketing alebo podmieňovanie zverejnením.

Právne a reputačné riziká: ako sa im vyhnúť

• Žiadne vydieranie („pay or publish“). Zverejnenie sa koordinuje, nie obchoduje.
• Dodržiavanie zákonov o neoprávnenom prístupe a ochrane dát; testujte iba to, čo je povolené VDP/súhlasom.
• Dôkaz o dobrej viere: úplná dokumentácia, šetrný PoC, včasná notifikácia, spolupráca pri validácii fixu.

Typické triedy zraniteľností (bez návodu na zneužitie)

• Kontrola prístupu (IDOR, chýbajúce ABAC/RBAC): prístup k cudzím zdrojom bez autorizácie.
• Vstupná validácia (injekcie, nebezpečné deserializácie): nekontrolované vykonávanie alebo únik dát.
• Konfigurácie (tajomstvá v repozitári, slabé CORS, verejné bucket-y): uniknuté kľúče, otvorené dáta.
• Autentifikácia (slabé reset mechanizmy, absentujúce rate-limity): prevzatie účtov.
• Dodávateľský reťazec (zraniteľné knižnice, CI/CD expozícia): transitívne riziká.

Proces zverejnenia: technický advisory bez citlivostí

• Obsah: opis problému, postihnuté verzie, vektor, dopad, mitigácia, cronológia, atribúcia, referenčné identifikátory.
• Bezpečnostný bulletin: krátka verzia pre adminov (čo aktualizovať, aké konfiguračné kroky urobiť).
• Embargo: zdieľanie s partnermi (napr. výrobcovia AV/WAF) v obmedzenom režime pre prípravu signatúr.

Správa dôkazov a reťazec dohľadu

• Časové pečiatky, kontrolné súčty, podpisy – preukázateľnosť bez úniku obsahu.
• Oddelené úložiská pre citlivé a necitlivé artefakty; prístup podľa rolí a „need-to-know“.
• Likvidácia dočasných dát po uzavretí prípadu; auditné logy prístupu k reportu.

Keď dodávateľ nereaguje: eskalácia bez senzácie

1. Zdvorilý follow-up a pripomenutie VDP lehoty.
2. Koordinátor (národný CSIRT/CERT) – nezávislé posúdenie a facilitácia.
3. Informovanie používateľov po primeranej lehote s praktickými mitigáciami (konfigurácie, firewall, vypnutie funkcie), stále bez exploitačných detailov, ak fix neexistuje.

Checklist pre výskumníka

• Overil som VDP a mám súhlas/mandát na testovanie v definovanom rozsahu.
• PoC je minimálny a bez zbytočného prístupu k dátam používateľov.
• Dokumentujem kroky, časy, IP a prostredie; ukladám len nevyhnutné metadáta.
• Report je štruktúrovaný, šifrovaný pri prenose a bez PII.
• Rešpektujem dohodnutú časovú os a komunikujem profesionálne.

Checklist pre organizáciu

• Publikovaný VDP s kontaktmi, PGP a safe harbor.
• Definovaný triage, SLA na reakcie a zodpovednosti (produkt, bezpečnosť, právne).
• Bezpečný kanál pre prílohy a PoC (šifrovaný inbox, upload portál).
• Proces patch management a komunikácia advisory zákazníkom.
• Transparentné ocenenie výskumníkov (atribúcia, hall of fame, prípadne bounty).

KPI a metriky kvality zodpovedného oznamovania

• MTTA/MTTR: čas do potvrdenia a čas do opravy.
• Podiel reprodukovateľných reportov vs. šum; počet odmietnutých pre „out-of-scope“.
• Komunikačná disciplína: dodržiavanie SLA, počet eskalácií k koordinátorovi.
• Bezpečnostný dopad: počet incidentov po nasadení advisory vs. pred.

90-dňový plán zavedenia programu zodpovedného oznamovania

1. Dni 1–30: vytvoriť a publikovať VDP (rozsahy, safe harbor, kontakty, PGP); nastaviť interný triage a šablóny odpovedí.
2. Dni 31–60: zriadiť bezpečný kanál pre reporty, definovať scoring a priority, pripraviť verejný advisory formát.
3. Dni 61–90: pilotné testy, cvičná simulácia príjmu a opravy, spustenie „hall of fame“ a retrospektíva metriky MTTA/MTTR.

Zodpovedné oznamovanie ako spoločenská dohoda

Etický hacking funguje iba vtedy, keď výskumníci, organizácie a koordinátori dodržiavajú spoločné pravidlá – jasný mandát, minimálny dopad, dôvernosť a koordinované zverejnenie. Správne nastavený proces CVD buduje dôveru, skracuje čas do opravy a zvyšuje bezpečnosť celého ekosystému bez potreby „heroických“ krokov alebo tlaku verejnosti.