Sitat av
vidarlo
Meh.
Han varsla. Ingenting skjedde.
Det er eit mønster vi har sett fleire gonger. Dei som har sikkerhetsproblem gjer noko ulovleg ved å ikkje lappe sikkerhetshol dei vert klar over - før dei får buksene dradd ned i riksdekkande media.
Problemet her er faktisk at Bergen Kommune var klar over eit problem, og ga faen. Inntil det vart utnytta. Bergen kommune har vedteke eit relativt stivt gebyr for det.
Viare så har politiet handtert det på hinsides klønete måte. Dei sa først at vedkommande hadde svekka omdømmet til kommunen. Altså... kom igjen! Det har Bergen kommune gjort ved å gi faen i sikkerhetsproblemer!
Hadde derimot politiet sagt at dei inndrar lagringsdingsane fordi dei inneheld personopplysninger hadde neppe ein kjeft i verda reagert. Det hadde vore rimeleg. Men politiet går langt i å antyde at det er einaste straffesanksjonen dei har i ei sak mot nokon som er under femten, og at vedkommande skada kommunen sitt omdømme.
Det er det som vert kritisert!
En av grunnene var jo nettopp at de aktuelle dataene lå på disse diskene.
De har blitt brukt i en kriminell handling og er konfiskert med loven på politiets side.
Om jeg ikke tar feil så ble diskene beslaglagt i en annen hendelse mot samme kommune og er ikke en del av selve varslingsaken.
Mulig jeg tar feil.
Jeg tror ikke folk reagerer så mye på diskene, det er jo settningen om omdømme det reageres på (som er en av flere grunner).
Dette er jo heller ikke eneste gangen denne gutten har forsøkt å bryte seg inn hos Bergen kommune.
Hvor går grensen mellom å være varsler og forsøk på innbrudd?
Jeg frykter at det blir ett free for all på nettet hvor man kan utføre innbruddsforsøk og gjemme seg bak "sikkerhetstesting" Dersom de blir oppdaget.
Dersom jeg "tilfeldigvis" finner ett sikkerhetshull og varsler om dette, gir det meg automatisk lov til å forsøke å bryte meg inn andre veier i samme system?
Her har det vært ett pågående uautorisert forsøk på å tilegne seg data som berører titusenvis av tredjeparter.
At Bergen ikke sikret disse tilstrekkelig betyr ikke at man kan gjøre som man vil med disse dataene.
Den virkelige debatten drukner i amatørbehandlingen Bergen kommune og politi har gitt denne saken, og den debatten bør gå på hva som skal være lov og hvilke retningslinjer som bør gjelde ved oppdagelse og varsling av sikkerhetsbrister.
Gutten gjorde desverre alt feil etter at varselet ble sendt, og det bør debatteres hva slags etikk som forventes av frivillige sikkerhetsforskere slik at neste varsler slipper å risikere å gjøre noe ulovlig ut av å varsle.