"Nie można przełamać czegoś, co nie istnieje" - polski wyrok w sprawie SQL Injection

Sąd Rejonowy w Głogowie VI Wydział Grodzki w dniu 11 sierpnia 2008 r. wydał ważny wyrok w sprawie mężczyzny oskarżonego o to, że używając komputerów nie będąc do tego uprawnionym, po przełamaniu elektronicznego zabezpieczenia, serwera pewnej firmy, uzyskał informacje - dane osobowe - dla niego nie przeznaczone, działając tym samym na szkodę tej firmy, a więc w sprawie oskarżonego o czyn z art. 267 §1 kodeksu karnego. Sąd wyrokiem (sygn. akt VI K 849/07) uniewinnił oskarżonego od zarzutu, nakazał zwrócić oskarżonemu dowody rzeczowe wymienione w wykazie dowodów, a na podstawie art. 632 pkt 2 KPK orzekł, że koszty procesu ma ponieść Skarb Państwa. Wyrok jest prawomocny. To bardzo ważne rozstrzygnięcie (sygnalizowałem, że opublikuję informację na ten temat przy tekście Pochwalił się internetowi, pochwali się wnukom), a dotyczy m.in. granic możliwości przeprowadzania "audytu bezpieczeństwa" serwisów internetowych, a także spraw związanych z tzw. SQL Injection.

O sprawie, w której rozstrzygnął sąd, wcześniej pisałem w tekstach Fuszerka wykonawcy, szukanie luki, oferta naprawy i kajdanki i Ciąg dalszy w sprawie, w której kajdanek użyto po podpisaniu klauzuli poufności. Przypominam, że oskarżony nie zgodził się na dobrowolne poddanie się karze, które mu zaproponowano, początkowo bronił się sam. W ramach "programu" pro bono tego serwisu (por. VaGla.pl dla działalności pro bono) obrony mężczyzny podjął się mec. Artur Kmieciak. Po wydaniu wyroku zarówno prokuratura jak i obrona poprosiły sąd o uzasadnienie wyroku, co byłoby niezbędne do złożenia ewentualnej apelacji. Prokuratura nie złożyła jednak apelacji (wyrok jest uniewinniający, więc obrona również apelacji nie składała) i wyrok się uprawomocnił.

Co znajdziemy w uzasadnieniu wyroku Sądu Rejonowego w Głogowie w sprawie oskarżonego? W pierwszej kolejności opis podjętych przez niego działań. Odwiedził on stronę internetową i stwierdził, że serwis zawiera błędy. Następnie w formularz logowania wpisał ciąg znaków "' or 1=1" (powtarzając tą czynność również w polu hasła), co spowodowało, że został "zalogowany" na konto losowego użytkownika. To zaś spowodowało, że mężczyzna uzyskał dostęp do kilku kont użytkowników z jednoczesnym dostępem do ich danych osobowych. Mężczyzna postanowił wykorzystać ten fakt, a to w ten sposób, iż skontaktował się z przedstawicielami przedsiębiorstwa prowadzącego serwis internetowy i poinformował ich, że "wykrył lukę umożliwiającą wejście do bazy danych marketingowych firm należących lub związanych właścicielsko" z przedsiębiorstwem. W międzyczasie mężczyzna sprawdził również inne strony i serwisy internetowe stworzone przez autora witryny użytkowanej przez przedsiębiorstwo. Zauważył, że wszystkie te strony internetowe zawierały podobne błędy (zostały skonstruowane z wykorzystaniem tego samego systemu zarządzania treścią). Mężczyzna, by uwiarygodnić swoją propozycję, wysyłając list elektroniczny do przedsiębiorstwa umieścił tam dane jednego z pracowników, które uzyskał w wyniku opisywanych wyżej działań. Nie uzyskał żadnej odpowiedzi na propozycję współpracy postanowił wysłać listy bezpośrednio do zainteresowanych firm, których dane były w ramach serwisu przetwarzane.

Doszło do nawiązania kontaktu i mężczyzna został zaproszony do współpracy. W czasie spotkania, na które mężczyzna został zaproszony miała zostać podpisana umowa o dzieło, na podstawie której miał rozpocząć prace w celu usunięcia luk w zabezpieczeniach. Mężczyzna przyjechał na umówione spotkanie, tam podpisał przedstawione mu zobowiązanie do zachowania poufności (z datą sprzed wykrycia błędów), a następnie został zatrzymany przez współpracującą z przedsiębiorstwem Policję.

W trakcie postępowania przygotowawczego biegły sądowy z dziedziny informatyki sporządził ekspertyzę z zakresu badań danych, a wynikało z niej, że mężczyzna posłużył się "jedną z form ataku na bazy danych o nazwie SQL Injection, którego celem jest wydobycie poufnych informacji z bazy danych i zakłócenie jej funkcjonowania". W toku postępowania przed sądem, Sąd - mając na uwadze wątpliwości wynikające z doświadczenia życiowego oraz wniosek obrońcy oskarżonego - dopuścił dowód z opinii innego biegłego. Z tej opinii zaś wynikało, że poprzez wprowadzenie ciągu znaków "' or 1=1" mężczyzna nie dokonał złamania zabezpieczeń bazy danych. Nie złamano żadnego hasła dostępowego do bazy danych, nie wpisano kodu programowego, a mężczyzna w żaden sposób nie wpłynął na funkcjonowanie zabezpieczeń bazy danych. Nie usunął również zabezpieczenia, a także nie zmienił haseł dostępowych, nie założył konta dostępowego do bazy danych. Z opinii biegłego wynikało, że wprowadzenie tego ciągu znaków należy uznać za wykorzystanie SQL Injection w celu obejścia zabezpieczeń, na co pozwoliło niewłaściwe zabezpieczenie bazy danych. Formularz logowania i serwis internetowy był tak skonstruowany, że podany przez mężczyznę ciąg znaków był dopuszczalnym ciągiem danych wejściowych dla tego typu pól formularza. Poprawność zaś tego ciągu znaków powinna zweryfikować aplikacja sprawdzając, czy w bazie danych jest zapisany użytkownik o takiej nazwie lub posiadający takie hasło i wygenerować odpowiedni komunikat o błędzie.

Obrona nie kwestionowała faktów, a mężczyzna składał wyjaśnienia zgodnie z ustalonym przez sąd stanem faktycznym. Obrona kwestionowała jednak, że działania mężczyzny zawierały wszystkie znamiona czynu zabronionego z art. 267 §1 KK, w szczególności zdaniem obrony nie wypełniono znamienia "przełamania zabezpieczeń". Dodatkowo mężczyzna wyjaśniał, że nie używał programu służącego do łamania zabezpieczeń.

Sąd pod przewodnictwem Sędziego SR Andrzeja Molisaka zważył co następuje:

Na podstawie zgromadzonego w aktach sprawy materiału dowodowego nie można uznać oskarżonego za winnego popełnienia czynu zarzucanego mu aktem oskarżenia. Sąd przyjął taki wniosek w oparciu o wyjaśnienia oskarżonego oraz w oparciu o zebrane w sprawie dokumenty w postaci korespondencji e-mailowej między oskarżonym a przedstawicielem firmy (...), jak również w oparciu o opinię biegłego sądowego Tomasza Jagiełło [opinia wydana na wniosek obrony - dopisek mój, VaGla] i częściowo w oparciu o opinię biegłego sądowego Tomasza Mikosia [opinia przygotowana w postępowaniu przygotowawczym - dopisek mój, VaGla].

Sąd nie znalazł podstaw, by w jakiejkolwiek części kwestionować wyjaśnienie oskarżonego. Okoliczności faktyczne podawane przez oskarżonego w pełni korespondują z zeznaniami pracowników (...) [chodzi o pracowników przedsiębiorstwa, z którym mężczyzna się kontaktował - dopisek mój, VaGla], nadto znajdują potwierdzenie w dołączonej do akt sprawy korespondencji e-mailowej wysyłanej przez oskarżonego. Zdaniem sądu nie ma żadnych racjonalnych przesłanek do zakwestionowania wyjaśnień oskarżonego, tym bardziej, że podany przez niego sposób działania został potwierdzony przez opinie biegłych sądowych.

Z tych samych powodów Sąd uznał za wiarygodne w całości zeznania świadków (...). Należy jednak zwrócić uwagę, że zeznania te w zasadzie dotyczą okoliczności związanych z zatrzymaniem oskarżonego w siedzibie firmy (...) i prowadzeniem korespondencji e-mailowej z oskarżonym.
(...)
Przy tak ustalonym stanie faktycznym Sąd uznał, że działania oskarżonego nie wypełniły znamion ustawowych czynu z art. 267 §1 kk. Zgodnie z treścią art. 267 §1 kk odpowiedzialności karnej podlega ten, kto bez uprawnienia uzyskuje informacje dla niego nie przeznaczoną przełamując elektroniczne, magnetyczne albo inne szczególne jej zabezpieczenie. Z treści przepisu jednoznacznie wynika, że odpowiedzialność karna sprawcy statuuje łącznie wykonanie następujących czynności: uzyskanie informacji bez uprawnienia i przełamanie w tym czasie jej elektronicznego, magnetycznego lub innego szczególnego zabezpieczenia. Przełamanie zabezpieczenia następuje wtedy, gdy sprawca niszczy, usuwa zabezpieczenia, lub kiedy oddziałując na zabezpieczenie chwilowo niweluje jego funkcję zabezpieczającą. Zatem nie będzie ponosiła odpowiedzialności karnej osoba, która uzyskała dostęp do chronionych informacji, ale nie przełamała jej zabezpieczenia (Włodzimierz Wróbel - "Komentarz do art. 267 kk" w "Kodeks karny. Część szczególna t. III, Zakamycze 2006"). Co więcej, zgodnie z poglądami doktryny, jeżeli sprawca wykorzystuje błąd programisty i wchodzi do systemu przez "dziurę" w konfiguracji lub oprogramowaniu systemowym po to, by uzyskać znajdującą się w systemie informację, to nie można mu nawet przypisać usiłowania przestępstwa, o którym mowa w art. 267 §1 KK. Jeżeli "przechodzenie przez dziurę" nie wymaga od hackera ingerencji w zapis na komputerowym nośniku informacji lub korzystania ze specjalnego oprogramowania, zachowanie takie w ogóle nie jest karalne (por. Andrzej Adamski "Przegląd sądowy" 1998 nr 11-12, poz. 149). Podobne stanowisko zajmuje Piotr Kardas ("Czasopismo Prawa Karnego i Nauk Penalnych" 2000 r., nr 1, poz. 25) i Sebastian Bukowski ("Przegląd Sądowy" 2005 r., nr 4, poz. 134). Taka interpretacja przepisu art. 267 §1 kk jest też uzasadniona w świetle proponowanych zmian treści tego właśnie przepisu. Według projektu zmiany art. 267 §1 kk ma brzmieć: "kto bez uprawnienia uzyskuje dostęp do informacji dla niego nie przeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie podlega grzywnie, karze ograniczenia wolności, albo pozbawienia wolności do lat 2 (...) zmiany dotyczące przepisu art. 267 § 1 K.k. oraz przepisu art. 269a K.k. mają na celu implementację do polskiego porządku prawnego Decyzji ramowej Rady 2005/222/WSiSW z dnia 24 lutego 2005 r. w sprawie ataków na systemy informatyczne. Powołana Decyzja ramowa ustanawia szereg prawnokarnych mechanizmów zmierzających do wzrostu skuteczności działań służących zwalczaniu ataków na systemy informatyczne, zawierając w szczególności zobowiązanie do pena­lizacji czynów polegających na nielegalnym dostępie do systemu infor­matycznego, nielegalnej ingerencji w taki system oraz nielegalnej ingerencji w dane. Nie wszystkie z tych zachowań są aktualnie penalizowane w polskim prawie karnym, co czyni konieczną modyfikację niektórych przepisów w sposób prowadzący do pełnej ich zgodności z wymaganiami wynikającymi z Decyzji ramowej. W tym celu, zgodnie z proponowanym brzmieniem przepisu art. 267 § 1 K.k. dotyczącego przestępstwa tzw. hackingu, za zabronione pod groźbą kary uznaje się już samo nieuprawnione uzyskanie dostępu do informacji. Poszerzony zostaje w ten sposób zakres penalizacji w stosunku do zakresu wynikającego z obecnego brzmienia przepisu, który przewiduje odpo­wiedzialność karną dopiero wówczas, gdy sprawca uzyska informację dla niego nie przeznaczoną, nie zaś sam do niej dostęp. Tymczasem, zgodnie z art. 2 Decyzji ramowej, już nieuprawnione uzyskanie dostępu do informacji powinno skutkować odpowiedzialnością karną. Wskazać trzeba również, że projektowana zmiana zapewni jednocześnie zgodność przepisów polskich z Konwencją o cyberprzestępczości, podpisaną przez Rzeczpospolitą Polską w dniu 23 listopada 2001 r. (...) Projekt poszerza także opis czynu z art. 267 § 1 K.k. o sformułowanie „albo omijając” (umieszczone po wyrazie „przełamując”), z uwagi na okoliczność, że zgodnie ze stanowiskiem specjalistów zajmujących się prawem infor­matycznym jest możliwe uzyskanie dostępu do zabezpieczonej informacji bez przełamywania, lecz przez ominięcie jej zabezpieczeń (...)".

W przedmiotowej sprawie nie ma żadnych wątpliwości, że oskarżony uzyskał informacje dla niego nieprzeznaczone bez uprawnienia. Jak wynika z jego e-maila (...) zdobył on informacje na temat danych osobowych pracownika spółki (...). Natomiast podstawowego znaczenia, z punktu widzenia określenia odpowiedzialności karnej, nabiera ustalenie czy podczas zdobycia tych informacji doszło do przełamania elektronicznego zabezpieczenia bazy danych. Innymi słowy należy ustalić, czy wpisanie przez oskarżonego określonego ciągu znaków i zastosowanie SQL Injection jest przełamaniem zabezpieczenia programu w rozumieniu art. 267 § 1 K.k.

By odpowiedzieć na takie pytanie oskarżyciel publiczny powołał biegłego sądowego Tomasza Mikosia, który określił zachowanie oskarżonego jako atak na bazę danych zawartych w serwisie za pomocą SQL Injection. Również takie same wnioski zawarł biegły w ustnej opinii uzupełniającej. Sąd, mając na uwadze powołane wyżej wątpliwości co do interpretacji obecnej treści art. 267 § 1 Kk, jak również doświadczenie życiowe, powołał z urzędu innego biegłego, Tomasza Jagiełłę. W przedłożonej opinii (...) doprecyzowuje pojęcie na bazę danych, podając, że w tym przypadku atak polegał na wykorzystaniu tzw. "luki" w zabezpieczeniach będącej wynikiem błędu programisty. Stwierdzenie to jest niezwykle istotne ze względu na ocenę, czy zachowanie oskarżonego wypełniło znamiona czynu z art. 267 § 1 Kk. Czym innym jest bowiem przełamanie fizycznie istniejącego zabezpieczenia programu, a czym innym jest znalezienie luki w zabezpieczeniu programu, która powstała w wyniku błędu twórcy zabezpieczeń albo braku jego wyobraźni - czyli ominięcie zabezpieczenia. Jak wynika z opinii biegłego Tomasza Jagiełły oskarżony działał właśnie w taki sposób - poprzez wprowadzenie ciągu znaków, które w zasadzie każdy z użytkowników bazy mógł wprowadzić - uzyskał dostęp do danych poprzez istniejącą lukę w zabezpieczeniu programu.

Zdaniem Sądu, mając na uwadze obecną treść art. 267 § 1 Kk, ustawodawcy chodzi o przełamanie istniejącego zabezpieczenia. Nie można przełamać czegoś, co nie istnieje. Za taką interpretacją przemawia chociażby słownikowa definicja bezokolicznika "przełamywać" jako "łamanie czegoś, przezwyciężanie czegoś, zwalczanie czegoś" ("Popularny słownik języka polskiego", Wydawnictwo Wilga, Warszawa 2000). Zupełnie czymś innym jest ominięcie zabezpieczenia poprzez znalezienie w nim luki. Za takim wnioskiem przemawia powołany proponowany projekt zmiany 267 § 1 Kk, gdzie rozszerza się katalog czasownikowych zachowań sprawcy również i o ominięcie elektronicznego zabezpieczenia.

Reasumując należy stwierdzić, że w niniejszej sprawie, na gruncie obecnie obowiązującego prawa, oskarżony swoim zachowaniem nie wypełnił znamion czynu z 267 § 1 Kk, gdyż nie dokonał złamania zabezpieczeń bazy danych, nie złamał żadnego hasła dostępowego, nie wykorzystał żadnego specjalistycznego oprogramowania i nie wpłynął na funkcjonowanie zabezpieczeń tej bazy danych. Wprowadzenie przedmiotowego ciągu znaków należy uznać za wykorzystanie SQL Injection w celu obejścia zabezpieczeń, na co pozwoliło niewłaściwe zabezpieczenie bazy danych. (...)
Mając powyższe na uwadze Sąd uniewinnił oskarżonego od popełnienia zarzucanego mu czynu.
(...)

Wypada jeszcze raz przypomnieć słowa uzasadnienia: "Nie można przełamać czegoś, co nie istnieje" i zaproponować rozważenie, czy jeśli nie można przełamać, to - na podobnej zasadnie - nie da się "obejść" czegoś, co nie istnieje. Poszukując informacji na temat jednej z obecnie procedowanej "ścieżek nowelizacji" Kodeksu karnego można sięgnąć do tekstu Tak, tak, nowelizują kodeks karny... wizerunki małoletnich, hacking, 269b.... Ustawa nowelizująca m.in. treść art. 267 § 1 Kk została uchwalona na sejmowym posiedzeniu nr 22 dnia 19 września 2008 r. 22 września ustawę przekazano Prezydentowi i Marszałkowi Senatu. Proces legislacyjny dla tej nowelizacji jeszcze nie jest zakończony.

Poproszony przez właśnie uniewinnionego o możliwość umieszczenia przy tej relacji paru słów - oddaję mu głos:

Chciałbym serdecznie podziękować Panu Mecenasowi Arturowi Kmieciakowi za pomoc jaką mi udzielił, za poświęcony czas i ogromną wiedzę, którą chętnie się dzielił.

Chciałbym również podziękować autorowi tego serwisu, Panu Piotrowi Waglowskiemu za to, iż umożliwił mi opublikowanie informacji o mojej sprawie i zainteresował nią wielu ludzi.
Na koniec podziękowania dla Pana Bartosza Kwiatkowskiego za udzieloną pomoc i wsparcie.

Dziękuję!
Mateusz M.

Przeczytaj również:

• Sklonujmy sobie tanio kartę RFID - luki bezpieczeństwa a globalna gospodarka oparta na wiedzy
• Wojna polsko-turecka? Samosąd za sąd.
• Cisza przedwyborcza: atak hackerów, gra nerwów czy dziennikarstwo?
• Dobre klikanie i pozyskanie - rozważania o danych Gemiusa
• Cross site scripting i "Linuks już nie darmowy"
• Skanowanie portów - czy znamy jakieś polskie przypadki?
• Dyskusja o bezpieczeństwie systemów... Policji
• Stado może przejść przez dziurę po sprytnej krowie, czyli CSS nie jest "skutecznym" zabezpieczeniem
• Syndrom sprytnej krowy i AACS
• "All your base are belong to us" czyli walka o hex odbezpieczający HD-DVD i Blu-Ray
• Zatrzymano chłopaka, który umieścił "złe psy" na stronie suwalskiej policji
• Kara dla robota, czy odpowiedzialność producenta oprogramowania?
• Hackerska lustracja poczty kandydatki na wiceprezydenta USA (w stylu 4chan)