Nach meinem Verständnis entspricht dies nicht mehr dem verantwortungsvollen Verhalten von „White Hat“. Habe ich Recht mit dieser Behauptung?

Weißer (und grauer / schwarzer) Hut sind vage Begriffe. Es gibt keine feste universelle Definition. Nach den Wikipedia-Definitionen würden die meisten Forscher als Gray Hat angesehen, da es nicht ungewöhnlich ist, zu veröffentlichen, wenn der Softwarehersteller das Patchen ablehnt.

Die einfache Antwort auf Ihre Frage lautet Nein. Wenn es Ihr Ziel ist, die Welt sicherer zu machen, stimmt dies eindeutig nicht direkt überein. Es gibt ein indirektes Argument: Durch die Förderung der finanziellen Belohnung wird eine gesündere Beziehung zwischen Unternehmen und Forschern gefördert und mehr Menschen auf dem Gebiet ermutigt.

Warum fragst du überhaupt? Der Forscher ist in keiner Weise verpflichtet, Ihnen dies mitzuteilen. Wenn Sie nicht nachweisen können, dass er gegen das Gesetz verstoßen hat, um die Schwachstellen zu finden, haben Sie keinen Einfluss darauf, ihn zu zwingen. Bis heute haben Sie mehrere Stunden Arbeit von einer (hoffentlich - sonst wirft sich das in ein schlechtes Licht) hochqualifizierten Person völlig kostenlos erhalten. Entweder sehen Sie es als wertvoll an, ihn dafür zu bezahlen, dass er weiterhin Dienste anbietet, oder Sie tun es nicht.

* Wenn ich den Titel sehe, würde ich behaupten, dass dies kein Black Hat-Verhalten ist, es sei denn, er nutzt die Sicherheitslücken absichtlich zu seinem eigenen Vorteil oder zu Ihrem Vorteil eigenen Schaden (/ gibt sie direkt an jemanden mit dieser Absicht). Wenn er sich nur weigert, das Argument offenzulegen, liegt das zwischen den Definitionen für weiß / graue Hüte.

Der Forscher hat die Sicherheitsanfälligkeit nicht erstellt und nicht damit gedroht, das, was er gefunden hat, freizugeben oder auszunutzen. Wenn Sie nicht für seine Arbeit bezahlen möchten, tun Sie dies nicht und Ihrem Unternehmen geht es nicht schlechter als vor seiner Kontaktaufnahme. Tatsächlich hat er Ihnen die Gabe gegeben, Ihnen mitzuteilen, dass es eine Sicherheitslücke gibt, die Sie selbst oder durch einen anderen Auftragnehmer finden können.

Also nein, er hat nichts Unethisches getan.

Ich bin ein Insektenjäger und ich habe keine Ahnung, warum jeder hier der Meinung ist, dass es vollkommen in Ordnung für ihn ist, Ihre Website ohne Erlaubnis anzugreifen, selbst einen Kopfgeldbetrag zu ermitteln und potenziell gefährliche Fehler zurückzuhalten, weil er diese nicht bekommt das Geld, das er will. Warum hat er nicht vorher nach Ihrer Politik gefragt? Sie haben nie behauptet, ein Bug-Bounty-Programm auszuführen oder in der Lage zu sein, irgendjemanden für irgendetwas zu bezahlen.

Um dies noch einmal zu klären, hat sich OP nicht für das Open Bug Bounty-Projekt angemeldet. Das Projekt bietet an, ein Vermittler zwischen Forschern und Websites zu sein, die kein Kopfgeldprogramm durchführen. Außerdem erwähnen sie ausdrücklich, dass Sie nicht zur Zahlung verpflichtet sind, und der Forscher sollte sich dessen bewusst sein, wenn er die Richtlinien liest.

Ein Websitebesitzer kann dem Forscher auf eine Weise seinen Dank aussprechen, die er für am besten geeignet und verhältnismäßig zu den Bemühungen und der Hilfe des Forschers hält. Wir empfehlen Website-Eigentümern, dem Forscher mindestens ein Dankeschön zu sagen oder eine Empfehlung in das Profil des Forschers zu schreiben. Es besteht jedoch keinerlei Verpflichtung oder Pflicht, sich zu bedanken.

(Hervorhebung meiner eigenen)

Wenn er eine Geldsumme erwartet Belohnung, er sollte nach Fehlern in Unternehmen suchen, die tatsächlich ein Kopfgeldprogramm durchführen. Es gibt viele seriöse Programme, die hohe Belohnungen zahlen.

Der Forscher schickte daraufhin eine Folge-E-Mail, in der er darauf hinwies, dass er mehr Schwachstellen gefunden hat. Da wir jedoch keine Spende geleistet haben, wird er diese behalten Schwachstellen für sich.

Wenn er sie bereits gefunden hat und es nicht sehr aufwendig ist, sie in eine Liste aufzunehmen und Sie wissen zu lassen, dann finde ich es unethisch, die Fehler zurückzuhalten. ^{1 sup> Sie haben nicht gefragt er soll für dich arbeiten. Er hätte sich erkundigen können, ob Sie vorher für Fehler bezahlen. Und er hat Ihnen nicht so sehr sein Fachwissen für eine Spende angeboten - Ihrer Beschreibung nach klingt es eher nach einer leichten Bedrohung, dass Ihre Website in Gefahr ist, wenn Sie ihn nicht bezahlen.}

Nehmen Sie diesen Vorfall als Hinweis, dass Sie mehr in Ihre Sicherheit investieren müssen. Erwägen Sie die Einrichtung eines echten Bug-Bounty-Programms mit kleinen Kopfgeldern oder die Einstellung eines professionellen Penetrationstesters. Aber lassen Sie ihn kein Geld von Ihnen erpressen, wenn Sie es nie versprochen haben.

^{1 sup> Es ist nicht so, dass er freie Arbeit für Sie leisten sollte. Es ist die Tatsache, dass er erwähnt, dass es etwas gibt, das er Ihnen nicht sagen wird , es sei denn, Sie zahlen ihm einen bestimmten Betrag, der es unethisch macht, insbesondere wenn eine Ausbeutung dieser Fehler die Zukunft Ihres Unternehmens gefährden könnte.}

Er muss nichts preisgeben - aber er wusste, dass Sie in der zweiten Runde nicht bezahlen. Was ist seine Motivation? Sie können es nicht wissen - also nutzt er diese Lücke, um Druck auf Sie auszuüben, um zu zahlen.

Da er jedoch nicht damit gedroht hat, Malware freizugeben oder an schwarze Hüte zu verkaufen, ist er möglicherweise rechtlich und vielleicht sogar klar ethisch gesehen, wenn er dies niemals tut oder wenn er nur einen offenen Dump des Exploits macht, ohne ihn an schwarze Hüte zu verkaufen.

Er könnte ihn legal an Nationalstaaten und Sicherheitsunternehmen verkaufen, ohne jedoch die Bedeutung zu kennen Von Ihrem Code ist es unmöglich zu sagen, ob dies ein verkaufsfähiger Ort für den "Forscher" ist.

Die Zahlung eines fairen Marktwerts ist wahrscheinlich die beste Wahl. Die Person hat Zeit mit der Recherche verbracht und die Informationen haben einen Wert für Sie. Auch wenn sie es offen veröffentlichen, ist er rechtlich klar. Es kommt darauf an, welchen Schaden eine Veröffentlichung ohne Benachrichtigung für Sie anrichten würde. Wenn die Antwort nicht viel ist, ignorieren Sie sie. Ansonsten kommen Sie mit dem Geld. Dies ist übrigens rein zweckmäßig - spricht nicht wirklich für die Ethik. Ethisch gesehen hätte er die Recherche Ihrer App / Website einstellen sollen, von der er wusste, dass Sie nicht an einer Zahlung interessiert waren, es sei denn, es gibt öffentliche Daten, von denen er glaubt, dass Sie sie gefährden.

Auch wenn dies gesetzlich nicht vorgeschrieben ist, halten es viele für unethisch, jemanden nicht für seine Arbeit zu entschädigen. Dies ist unabhängig von den Werkzeugen, die diese Person für ihre Arbeit verwendet hat, oder dem Ton, der für die Kommunikation verwendet wird, insbesondere da ein Ton in der schriftlichen Kommunikation leicht falsch interpretiert werden kann.

Diese Person hat Ihnen eine Probe ihrer Arbeit geschenkt und dann gehänselt Sie mehr zu haben. Dies ist eine gängige Geschäftspraxis und in keiner Weise ein böswilliges Verhalten.

Aus den in der Frage enthaltenen Informationen kann der Forscher daher genauso gut in gutem Glauben und ohne böswillige Absicht handeln. Das OP könnte in der Darstellung der Fakten voreingenommen sein und versuchen, den Forscher als schwarzen Hut zu rahmen, um seinen Standpunkt zu legitimieren. Das ist nur eine Vermutung, und das OP könnte in gutem Glauben sein und der Forscher könnte das OP tatsächlich bedroht haben, aber das ist unklar.