Wenn es einen Lehrer oder Berater gibt, dem Sie vollständig vertrauen können und von dem Sie wissen, dass er Ihren Namen geheim hält, selbst wenn die Schulverwaltung anfängt, Drohungen gegen die Entlassung von Personen auszusprechen, würde ich zuerst zu ihnen gehen und Sprich privat mit ihnen. Sie müssen weder Computer noch Sicherheit verstehen (und Sie müssen nicht ins Detail gehen), sie müssen nur vertrauenswürdig sein und sich gut in der Verwaltungspolitik der Schule zurechtfinden: Sie benötigen Ratschläge zu den Persönlichkeiten der beteiligten Personen und wie gefährlich es für Sie wäre, das Problem zu melden. Wenn sie sich überhaupt nicht melden, sollten Sie ruhig bleiben.

Wenn sich jemand mit genügend Macht schämt, sucht er möglicherweise nach jemandem, der feuert oder vertreibt (oder im schlimmsten Fall zu verhaftet haben), um die Illusion zu vermitteln, dass sie die Kontrolle über die Situation haben. Wenn Sie mit der Verwaltung und der IT-Abteilung vertraut sind und ihnen vertrauen, und Sie wissen, dass sie Schüler in der Vergangenheit unterstützt haben, auch wenn sie dadurch schlecht aussahen, ist es möglicherweise weniger riskant, das Problem zu teilen, aber ich würde es trotzdem empfehlen Durch einen vertrauenswürdigen Vermittler gehen.

Wenn Sie nicht mit jemandem sprechen können, dem Sie vertrauen, um Ihren Namen anonym zu halten, und Sie das Problem nicht anonym melden können (und es klingt so, als ob Sie es nicht können), ist dies der Fall wahrscheinlich am besten für Sie , um ruhig zu bleiben. Und das bedeutet ganz leise: Sprechen Sie nicht über das, was Sie in den Foren gefunden haben, erzählen Sie Ihren Freunden nicht, was Sie gefunden haben, und probieren Sie es in ein paar Wochen nicht noch einmal aus, um zu sehen, ob es behoben wurde: Sie ziehen an möchte in keinem Protokoll angezeigt werden, dass dies etwas damit zu tun hat, insbesondere wenn es von jemand anderem ausgenutzt wird. Es ist scheiße, aber beginnen Sie damit, sich selbst zu schützen.

Ein anderer Gedanke kam mir, als ich Ihre Frage erneut las (Hervorhebung meiner):

Wie soll ich der Schule sagen, dass sie anfällig sind, wenn mir keine Erlaubnis zur Überprüfung erteilt wurde? ?

Könnten Sie die Erlaubnis erhalten? Sobald Sie die Erlaubnis haben, können Sie das Problem "entdecken" (ohne jemandem mitzuteilen, dass Sie es zuvor gefunden haben) und es melden, ohne sich Sorgen machen zu müssen, dass Sie ohne Erlaubnis für das Hacken verantwortlich gemacht werden.

Es wäre am einfachsten, wenn Sie ' Nehmen Sie bereits an einem Computerkurs teil, der von einem freundlichen Lehrer unterrichtet wird, der mit der IT zusammenarbeitet, um Ihnen eine zusätzliche Gutschrift für einen Pen-Test zu geben. Wenn Sie mit jemandem in der IT befreundet sind, können Sie sich direkt an ihn wenden und vorschlagen, dass Sie sich für das Studium der Netzwerksicherheit interessieren und hoffen, eines Tages einen Job darin zu bekommen. Wenn Sie einen Pen-Test des lokalen Netzwerks durchführen, können Sie Erfahrungen sammeln . Wenn Sie bereits den Ruf haben, gut mit Computern und Sicherheit umzugehen und vertrauenswürdig zu sein, haben Sie möglicherweise eine gute Chance, diesen Ansatz zum Laufen zu bringen.

Dies erfordert viel mehr Arbeit als nur das Melden des Problems , wenn du es richtig machst. Sie müssen viel mehr Dinge testen, damit Sie Ihr Wissen über die vorhandene Sicherheitslücke effektiv waschen können (natürlich können Sie Glück haben und weitere Probleme finden!), Und Sie müssen einen Bericht verfassen, in dem alles aufgeführt ist, was Sie tun tat und warum und was du gefunden hast. Sie können auch den Umfang dessen einschränken, was Sie testen dürfen, oder Ihnen ein Testsystem geben, das das bereits gefundene Problem nicht aufdeckt, was bedeutet, dass Sie bei der Arbeit und beim Schreiben des Berichts nicht weiterkommen können, ohne dies offenlegen zu können die ursprüngliche Ausgabe.

Natürlich ist dies eine ziemlich "hinterhältige" Art, das Problem zu melden. Wenn Sie abgelehnt werden, sollten Sie wahrscheinlich über das ursprüngliche Problem schweigen, denn wenn Sie es melden oder jemand anderes es tut und es auf Sie zurückgeführt wird, werden sich die Leute daran erinnern, wann Sie gebeten haben, einen Pen-Test durchzuführen und Fragen über Sie und zu stellen wie vertrauenswürdig du sein könntest. Dieser Ansatz birgt also ein gewisses Risiko.

Wie solltest du es ihnen sagen? Das sollten Sie nicht.

Sehen wir uns hier die möglichen Konsequenzen an. Da Sie ohne Erlaubnis in ihrem Netzwerk herumgestöbert haben (was mit ziemlicher Sicherheit gegen Ihre Studentenvereinbarung und die Zustimmung verstößt, durch die Sie geklickt haben, um Zugriff auf ihr IT-System zu erhalten), ist das beste Ergebnis, das Sie erwarten können, dass sie es tun Beheben Sie das Problem und Sie erhalten einen kleinen Klaps auf den Rücken.

Andererseits gibt es zumindest eine vernünftige Änderung, dass sie das falsche Ende des Stocks bekommen und Sie aus der Schule ausweisen und kann sogar die Polizei rufen. Da es andere Fälle von Hacking gegeben hat, können sie davon ausgehen, dass Sie auch irgendwie in diese verwickelt waren, was die Wahrscheinlichkeit rechtlicher Konsequenzen erhöht.

Zumindest und trotz Ihres Guten Absichten, mit denen Sie mit ziemlicher Sicherheit gegen das Gesetz verstoßen haben. Die Schule kann dies zwar übersehen, aber auch nicht.

Wenn Sie die Oberseite gegen die Unterseite abwägen, sollte die Wahl offensichtlich sein.

"Ma'am, ich möchte Sie nur wissen lassen, dass Sie einen Metallstreifen mit geringem Aufwand öffnen können, wenn Sie einen Metallstreifen in den Riegel der Tür zu Ihrer Garage schieben."

Nur nicht offenlegen. Viele von uns Sicherheitsleuten haben Schwachstellen in den Computersystemen unserer Universitäten gefunden, aber es gibt nichts zu gewinnen, wenn sie offengelegt werden. Lassen Sie es von jemand anderem finden und offenlegen, aber riskieren Sie nicht, ein System zu brechen, das nicht Ihnen gehört. Es gibt viele Geschichten in Schulen, in die ich gegangen bin, in denen der Bote dafür bestraft wurde, dass er versucht hat, das System zu verletzen. Ich wette, es ist viel wahrscheinlicher, dass Sie bestraft werden, indem Sie die Sicherheitsanfälligkeit offenlegen, anstatt sie selbst böswillig auszunutzen.

Wenn Sie einen persönlichen Grund dafür haben, dass das System nicht verletzt wird, wenden Sie sich an den Systemadministrator, um Fragen zu stellen die Sicherheit des Systems, damit Ihre Daten nicht persönlich gestohlen werden. Stellen Sie Fragen zu dem Fehler, den Sie in der Hoffnung entdeckt haben, dass der Administrator denselben Fehler findet, aber schlagen Sie nicht vor, dass Sie zuvor versucht haben, auf das System zuzugreifen.

Verwenden Sie die sokratische Methode.

Zeigen Sie die Sicherheitslücke dem Verantwortlichen für die Sicherheit in einer Reihe von Fragen auf. Wenn sie aus Sicherheitsgründen (oder aus welchen Gründen auch immer) Ihre Fragen nicht beantworten können oder wollen, schlagen Sie hypothetische Situationen vor und fragen Sie danach.

Können Sie die Vunerabilität auf zulässige Weise offenlegen?

Sie haben das Problem auf eine Weise gefunden, die anscheinend nicht zulässig ist. Können Sie das Problem so darstellen, dass Sie die Erlaubnis dazu haben? Wenn ja, könnte es eine gute Idee sein, dies zu versuchen. Möglicherweise handelt es sich nicht einmal um die ursprüngliche Sicherheitsanfälligkeit, sondern um einen Fehler, der bei der Untersuchung oder Behebung die Sicherheitsanfälligkeit aufdeckt.

Möglicherweise besteht die Sicherheitsanfälligkeit darin, dass Kennwörter nicht gehasht werden. Sie haben dies herausgefunden, indem Sie auf die Server der Schule gegangen sind. Anstatt ihnen mitzuteilen, dass Sie auf die Server der Schule gelangt sind, laden Sie eine Browsererweiterung herunter, die prüft, ob Passwörter als Klartext übertragen werden (was als Mittel zum Schutz Ihrer eigenen Sicherheit auf vernünftige, nicht neugierige Weise angesehen werden kann), und sagen Sie es die Schule, dass ihre Website rote Fahnen auf Ihrem Laptop verursacht und dass Sie sich Sorgen um Ihre eigene Sicherheit machen. Das Tolle daran ist, dass es viel sicherer und vertretbarer ist, Leuten außerhalb der Schule zu sagen, ob sie das Problem in angemessener Zeit beheben.

Ein Bonus dieser Technik ist das Sie müssen höchstwahrscheinlich nicht lügen.

Es ist wahrscheinlich am besten sicherzustellen, dass sie nicht die ursprüngliche Art und Weise erkennen, wie Sie von der Sicherheitsanfälligkeit erfahren haben, auch wenn sie diese beheben, damit sie nicht die Befugnisse der Regierung freisetzen gegen dich. (Wird Ihr Snooping beispielsweise in einem Protokoll aufgezeichnet?)

Sagen Sie es ihnen anonym und zitieren Sie alles, was Sie getan haben, z. B. die Penetrationstests, Ergebnisse usw., damit sie es selbst überprüfen (oder jemanden einstellen können). Stellen Sie sicher, dass die Nachricht an alle Personen gesendet wird, die befugt sind, sich mit den Problemen zu befassen.

Wie Drawbenn in ihrer zweiten Antwort vorgeschlagen hat, aber um es etwas anders auszudrücken: Drawbenn sagte, Sie können um Erlaubnis bitten, ich sage, Sie können auch „eine Sicherheitskontrolle vorschlagen oder sie dazu auffordern, dies zu tun oder ohne Ihre Hilfe “mit einem Grund wie„ Ich mache X oder engagiere mich online in X-Communities, und es gab Berichte oder Gespräche darüber, dass Schulen in unserem Bundesstaat / unserer Stadt gehackt wurden und jemand damit prahlte. “ Sie denken also, "wir sollten überprüfen, ob unsere Schule in letzter Zeit davon betroffen war".

Du hättest nicht dort sein sollen, also ist es egal, was du gefunden hast, du bist derzeit im Unrecht. Bis Sie die Erlaubnis zum Schauen erhalten, müssen Sie darüber schweigen und hoffen, dass sie Ihre Anwesenheit nicht erkannt haben.