Jak zaoferować unikalną wiedzę czyli Home.pl vs Hack.pl

Ponoć w społeczeństwie informacyjnym informacja zyskała szczególną wartość. Tylko co nam po takiej wartości, skoro nie można zaoferować swojej wiedzy odpłatnie? Wiele zależy od tego jak się taką ofertę sformułuje i przekaże potencjalnie zainteresowanemu. Po niedawnych doniesieniach o zatrzymaniu jednego z takich "oferentów" (por. Fuszerka wykonawcy, szukanie luki, oferta naprawy i kajdanki) jest kolejne zamieszanie - tym razem dotyczące Home.pl. Tym razem mówi się o udziale ABW w związku z tym, że przykładem wykorzystania luki stał się serwis Ministerstwa Edukacji Narodowej...

Jeśli prawdą jest opis błędów, było tak: poznając losowo wygenerowane trzy cyfry w dostępnym dla wszystkich adresie katalogu (nazwa_konta.home.pl/statsXXX, gdzie XXX to właśnie te cyfry) można było przeglądać bez jakiejkolwiek autoryzacji logi serwera. Zamiast zgadywać jakie to cyfry można było posłużyć się skryptem, który sprawdzał istnienie (lub nieistnienie) katalogu zawierającego w adresie cyfry od 100 do 999. Proste. W logach Home.pl zaś można było znaleźć wywołania aplikacji webowej phpmyadmin, a dzięki nim poznać strukturę tabel baz danych SQL. Dzięki logom można było też dotrzeć do innych danych, takich jak nazwy plików, katalogów, etc. Te wszystkie informacje odkryli współpracownicy Hack.pl. Cóż z tym zatem zrobić? Można poinformować providera o lukach, można też spróbować spieniężyć wiedzę...

Zamieszanie zaczęło się od listu, który podpisany był przez dwóch współpracowników Hack.pl:

Znalaźliśmy poważną lukę Państwa serwerów. Ma ona charakter krytyczny.
Jesteśmy przekonani, że może być wykorzystana na wiele sposobów przez ew. napastników.

Chcieliśmy z góry zauważyć, że piszemy do Państwa w celu informacyjnym i naszym zamiarem nie jest wykorzystanie tego błędu w sposób niezgodny z prawem.

Wstępnie myśleliśmy tylko o napisaniu o błędzie na łamach HACK.pl, a także o udostępnieniu zacieniowanych dowodów, które jednak nie pozwoliłyby na wykorzystanie błędu.

Chcemy postąpić maksymalnie przyjaźnie wobec home.pl, z naszego punktu widzenia, dobrze byłoby gdyby na łamach HACK.pl pojawił się news dotyczący luki w home.pl, ale też rozumiemy Państwa sytuację.

Koszt informacji szacujemy wstępnie na 200,000 złotych, cena - oczywiście - podlega negocjacji. Być może bylibyśmy zainteresowani współpracą z Wami na zasadach partnerskich, czy też reklamą w home.pl.

Jesteśmy otwarci na propozycje, oferujemy audyt bezpieczeństwa. Mamy nadzieję, że wspólnie uda nam się wyeliminować ten i podobne niedociągnięcia.

Z poważaniem.

Ludzie z Home.pl uznali, że ma miejsce próba szantażu. Po krótkich negocjacjach (gdzie mowa była o sądzie i prokuraturze) Hack.pl ujawnił Home.pl wykryte błędy. Jak wynika z tekstu opublikowanego w serwisie Hacking.pl pt. Hack.pl: za 200.000 zł nie napiszemy o Waszej luce w systemie: "Administracja Home.pl wykryła i zpatchowała usterkę zanim redakcja hack.pl zdecydowała się opisać im swoje rewelacje". Jednocześnie na Hack.pl pojawiło się oświadczenie. Poza tym, że zdaniem Hack.pl administratorzy serwerów home.pl nieuczciwie przypisali sobie wykrycie luki, czytamy tam m.in. również:

O luce w serwerach home.pl poinformowaliśmy w celach informacyjnych, równocześnie proponując pomoc. Wynika to bezpośrednio z treści korespondencji, która została wymieniona pomiędzy HACK.pl a home.pl. Z korespondencji jasno wynika, że złożyliśmy propozycję dla home.pl dotyczącą ujawnienia informacji, którymi tenże serwis mógłby być zainteresowany. O szantażu nie może być mowy. Co więcej, z treści wiadomości, które otrzymali Przedstawiciele home.pl, wynika jasno i klarownie, że zwróciliśmy się w celu zaoferowania pomocy.

Tymczasem sprawa może mieć ciąg dalszy. W tym samym oświadczeniu pokazano bowiem przykład wykorzystania odkrytej luki - uzyskując (pytanie czy faktycznie doszło do przełamania zabezpieczeń?) dostęp do panelu administracyjnego hostowanego w Home.pl serwisu internetowego Ministerstwa Edukacji Narodowej.

"W tym momencie mogłem przerobić obecny już artykuł na stronie, podmienić zdjęcia, napisać cokolwiek bym chciał, aby ukazało się na oficjalnej stronie Ministerstwa Edukacji Narodowej, które zdecydowało się hostować swoją stronę na home.pl" - pisze w oświadczeniu Michał Semeniuk z Hack.pl

Gazeta.pl w tekście Szantażyści złamali zabezpieczenia strony MEN przywołuje taki fragment rzeczywistości:

(...)
- To zwykły szantaż i próba wymuszenia - mówi Jurczyk [Stefan Jurczyk, szef home.pl - dopisek mój PW]. - O całej sprawie powiadomiliśmy policję, a dziś z pełną dokumentacją idę zgłosić to do prokuratury.

Stronę z instrukcją włamania się do systemu home.pl i na stronę MEN pokazaliśmy szczecińskim informatykom. Twierdzą że skutki działalności hakerów mogły być poważniejsze niż to wynika z zapewnień home.pl.

Ponieważ włamano się do instytucji państwowej (MEN) sporawą zajęła się też ABW.
(...)

No i co? Informacja ma, czy też nie ma ekonomicznej wartości w społeczeństwie informacyjnym? W dyskusji podniesiono argument szantażu, albo też groźby bezprawnej.

Art. 190. Kodeksu Karnego
§ 1. Kto grozi innej osobie popełnieniem przestępstwa na jej szkodę lub szkodę osoby najbliższej, jeżeli groźba wzbudza w zagrożonym uzasadnioną obawę, że będzie spełniona, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności
do lat 2.

§ 2. Ściganie następuje na wniosek pokrzywdzonego.

Art. 191.
§ 1. Kto stosuje przemoc wobec osoby lub groźbę bezprawną w celu zmuszenia innej osoby do określonego działania, zaniechania lub znoszenia, podlega karze pozbawienia wolności do lat 3.

§ 2. Jeżeli sprawca działa w sposób określony w § 1 w celu wymuszenia zwrotu wierzytelności, podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

Konstrukcja przestępstwa nazywanego "hackingiem" wymaga przełamania zabezpieczeń:

Art. 267. Kodeksu Karnego
§ 1. Kto bez uprawnienia uzyskuje informację dla niego nie przeznaczoną, otwierając zamknięte pismo, podłączając się do przewodu służącego do przekazywania informacji lub przełamując elektroniczne, magnetyczne albo inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

§ 2. Tej samej karze podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się urządzeniem podsłuchowym, wizualnym albo innym urządzeniem specjalnym.

§ 3. Tej samej karze podlega, kto informację uzyskaną w sposób określony w § 1 lub 2 ujawnia innej osobie.

§ 4. Ściganie przestępstwa określonego w § 1-3 następuje na wniosek pokrzywdzonego.

Czy doszło do przełamania zabezpieczeń, jeśli do zapoznania się z informacjami pozwalającymi na dostęp do administracyjnego panelu trzeba było trafić na trzy losowe cyfry i analizować dostępne już bez żadnych restrykcji logi systemu?

A czy jeśli można by mówić o przestępstwie "hackingu", to czy też można mówić o pomocnictwie w jego dokonaniu?

Art. 18 Kodeksu Karnego
§ 3. Odpowiada za pomocnictwo, kto w zamiarze, aby inna osoba dokonała czynu zabronionego, swoim zachowaniem ułatwia jego popełnienie, w szczególności dostarczając narzędzie, środek przewozu, udzielając rady lub informacji; odpowiada za pomocnictwo także ten, kto wbrew prawnemu, szczególnemu obowiązkowi niedopuszczenia do popełnienia czynu zabronionego swoim zaniechaniem ułatwia innej osobie jego popełnienie.

Czy wizję opublikowania "newsa dotyczącego luki w home.pl" jest już "grożeniem popełnieniem przestępstwa" lub groźbą bezprawną (por. felietony Nie trać nadziei i daj... szansę, Aby spać mógł ktoś, Ważny jest kolor kapelusza czy Wystarczy uzasadniona obawa)?

Czy skoro ktoś wspomniał o Agencji Bezpieczeństwa Wewnętrznego, to czy ABW będzie teraz analizować zasady odpowiedzialności wynikające z umów o utrzymanie infrastruktury pomiędzy zewnętrznymi spółkami a agendami rządowymi? Taki hosting ma pewien związek z "zagrożeniami godzącymi w bezpieczeństwo wewnętrzne państwa".

Tyle pytań. Tyle pytań...