באמת אין כאן מספיק מידע כדי לקבוע החלטה לגבי שאלתך. סמכות השיפוט ומה בדיוק קרה עם האופן בו מצאתם פגם באבטחה וכיצד בדקתם אותם ותנאי השירות שלהם (המגדירים כיצד מותר לכם להשתמש במחשבים ובנתונים שלהם) כל זה חשוב. באופן כללי, "פריצה" אינה מה שחוקי או לא חוקי, מה שאינו חוקי הוא שימוש בחומרה של אנשים אחרים או ב- IP באופן שאינך מורשה לעשות כן.

אם היית מנצל נגד החומרה שלהם, זה היה חדירה, ללא קשר לכוונה והם היו יכולים ללכת אחריך על זה אם הם באמת רוצים. אם לקחתם נתונים שהעניקו להם רישיון רק למטרה מסוימת וניצלתם שימוש לרעה בנתונים באופן שלא הייתם זכאים לכך, יתכן שהם גם יוכלו ללכת אחריכם על סמך סמכות שיפוט. אם הם סיפקו נתונים בבהירות, ללא רישיון משויך ומצאת דרך להשתמש בנתונים אלה כדי לנצל לרעה את המערכת שלהם על החומרה שלך, אז אתה בטח בטוח מכיוון שלא השתמשת בחומרה שלהם או בנתונים מורשים כדי לקבוע את החלטתך. אך שוב, זה יכול להשתנות במידה רבה על סמך סמכות שיפוט, ולכן ידיעת החוקים המקומיים שלך היא המדיניות הטובה ביותר ו IANAL.

לגבי עצות מעשיות בנוגע לגישה אליה. הייתי מציע לך לא לגשת לזה כפגיעות מוכחת. בהחלט לספק את מערכת האנטי-צ'יט שלך נשמע כמו פלוס. אתה יכול גם להזכיר בפשטות שחשבת שראית משהו שעשוי להיות ניצל כשאתה עובד עליו ולבקש את רשותם לבדוק אותו או לתת להם לבדוק אותו. אולי עדיף לך שלא להזכיר את הפגיעות בכלל אם כי אחרי שתקבל עבודה אצלם או תידרש מכוח המערכת שלך נגד רמאות בלבד. קשה מאוד לחזות כיצד אנשים יגיבו כאשר פגם חיצוני נחשף לפגם, גם כאשר מדווחים עליהם באחריות. רבות מהתגובות האפשריות לא יעבדו לטובתך, בין אם הכחשה, כעס או חשד.

- עריכה: תשובה זו התייחסה לרעיון הגשת מועמדות למשרה בהתבסס על גילוי פגיעות. -

הסיכויים גדולים שלא תקבל את העבודה אם היית מועמד בכוח העובדה שפרצת בהצלחה את אבטחת המשתמשים שלהם. תאמין לי, אם מישהו נכנס איתי לראיון ואומר, "אה, אגב, מצאתי חור במערכות שלך, פרצתי את זה, והנה התיקון שלי," אותו אדם היה מלווה מהבניין ואני הייתי התקשר למשטרה.

גלה באופן מלא את הפגיעות אליהם ועבורם בלבד, ועבוד איתם כדי לסגור את הבעיה. ואז פתח את הדיון על קבלת עובדים לעבודה ביטחונית נוספת. ברגע שאתה מנסה לשלב קבלת עבודה עם גילוי פגיעות, זה יכול להתפרש כניסיון סחיטה.

באשר לסיכויי הליכים משפטיים, זה תלוי במיקום שלך, במיקום שלהם, במיקום של שרת האינטרנט שבדקת, חומרת ההפרה, ו (במידה מסוימת) עמדות ומדיניות של הארגונים המושפעים.

-

לעולם לא מקובל לחפש נקודות תורפה באתרים או בשירותים ללא אישור. זה מנוגד לחוק, ובצדק.

זה חוקי לחלוטין לחפש נקודות תורפה במערכת שלך ובתוכנה שאתה מפעיל. אתה יכול למצוא בקלות יום של 0 שמשפיע על אנשים רבים אחרים, והוא חוקי לכל מה שתרצה עם ה מידע זה (אתה רשאי להעביר את פרטי הפגיעות כרצונך, אך למעשה השתמש בו כדי לנצל מערכת ללא הרשאה הוא סיפור אחר). הפיכתו לציבורי והשגת מספר CVE או מכירתו למציע הצעה הגבוהה ביותר.

מעט מאוד חברות בעלות תוכנית שכר באגים. פייסבוק וגוגל כן, והם יכולים לשלם די טוב על פגיעות עם השפעה גבוהה.

בין אם השימוש באתר חוקי ובין אם לאו, זה בלתי תלוי לחלוטין אם אתה מחפש פגיעות או לא אם אתה מוצא. מה שחשוב הוא האם אתה משתמש באתר באופן לא תואם לתנאים שלהם . לא משנה למה אתה עושה את זה.

לדוגמה, ניסיון כניסה באמצעות סיסמה של מישהו אחר כנראה אינו מותר ולכן אינו חוקי . עם זאת, קריאה בכתב ה- Javascript של העמוד המחפש טעויות כנראה ש היא חוקית לחלוטין. אבל אם אתה מוצא משהו, אם אתה מנסה לבדוק את הפגיעות שמצאת ... ובכן, כנראה שתחזור שוב לא חוקי.

בין אם הם יגישו האשמות נגדך ובין אם לא זו החלטה שלהם, אלא על ידי שבירת החוק העמיד את עצמך במצב גרוע לנהל משא ומתן.

כעת, אם יש לך הרשאה מפורשת של בעל האתר לחפש פגיעויות, ובכן, אתה שוב חוזר לצד המשפטי. רק הקפד לקבל את זה בכתב, כפי שגילו כמה דמויות בולטות.