Hei, driver en god del med hacking og exploiting av apper etc men lurer litt på hva lovene rundt white hacker responsible disclosure er i Norge? Har vært ganske heldig so far og ikke kommet i noe trøbbel selv med data osv jeg har anskaffet meg til tider. Hva kan jeg gjøre for å fortsette hobbyen min samt holde meg sikker juridisk? (Har allerede et firma der jeg driver med dette)

Om jeg skal svare på disse

Åpne eller lukkede apier? Begge men de brukes til å finne feil i suppose
Er det sensitiv data som blir eksponert? Det har hendt, da har jeg rapportert (noen tilfeller gått til avisen)
Passiv eller aktiv rekognosering? Aktiv og passiv (lagde egen scanner for det)
Norsk eller utenlandsk mål? Norsk og uteland
Er det en kjent sårbarhet eller nulldag? Diverse sårbarhetet jeg finner som er spesefik til den nettsiden så definerer det som en slags "nulldag"
Har du kun dokumentert sikkerhetshullet eller har du også utnyttet hullet? Dokumenterer og rapporterer (Krever ikke penger)
Vil avsløringen føre til økonomiske tap for den det gjelder? Kan føre til økonomiske tap om feks datatilsynet blir involvert eller siden deres går ned grunnet feilen

Jeg merker jo at du ikke jobber med dette, men uansett:
Du kan ikke definere noe til å bli en nulldag når du laster den ned fra nettet slik du viser til.

Ansvarsfull publisering inkluderer både varsling, venting på at feil utbedres og offentlig publisering.

Det er vanskelig å mene noe når du ikke klarer å komme med et konkret eksempel da alle denne type avsløringer er forskjellige. Men aktive skanninger inkluderer jo i praksis innbruddsforsøk, så du kan fort komme i en situasjon hvor du blir beskyldt for forsøk på å bryte deg inn.

Noe sier meg at du spør om selve letingen etter sikkerhetshull er ulovlig og ikke publiseringen?

Igjen, eksempelet ditt er ikke konkret nok. Det er ikke hva du får tilgang til som avgjør om det er ulovlig men hvordan du fikk tilgang.
Type data kan også ha noe å si.

Om du ser at urlen har et argument som "&user=1" og du endrer denne til "user=2" og får tilgang til en helt annen bruker og varsler om dette så vil det gå fint.

Om du begynner å kjøre burpsuite skannere mot en bank og forsøker å komme forbi xss sperrer så driver du i praksis med et innbruddsforsøk.

Jeg tenker at det veldig fort kan oppfattes som et forsøk på utpressing siden du også jobber med dette profesjonelt. Si du finner en mindre alvorlig feil i et system og rapporterer dette. Du sier du har gode intensjoner, men det kan fort tolkes som at du er var på jakt etter noe større, men ikke fant dette. De relevante paragrafene i straffeloven er spesielt vide, og selv om det kan bevises at du hadde noble intensjoner så er det ingenting i lovteksten som tilsier at du ikke kan straffes.

Hvis du ikke har en eksplisitt avtale om scope og behandling av data, så er det ulovlig (i Norge) å holde på som du gjør. Det holder at du får tilgang til et datasystem du ikke skal ha tilgang til, og så har du brutt loven. Definisjonen av datasystem er ekstremt vid, og i prinsippet satt av godt voksne dommere uten dine datakunnskaper. At ofrene kjører gammel programvare, eller har gjort klassiske blundere i utviklingsløpet sitt, gjør det ikke mer lovlig.

Du trenger bare å treffe på feil type person i riktig bedrift, og så blir det mye leven og inndratt datautstyr. Så enkelt er det. Folk har gått lange rettsrunder for langt mindre.

Jeg skulle derimot ønske at flere norske selskaper innså verdien av bug bounties, og lot folk få leke med systemene deres mot at de fulgte visse regler. Det er mye sårbart der ute, men utenlandske aktører har et slags prinsipielt monopol på å utnytte norske systemer, da det ikke er noen lovlig måte for nordmenn å gjøre det samme. (Det er altså ulovlig å bryte seg inn i systemer for utenlandske aktører også, men dette følges ikke opp før det er veldig store saker). Av det jeg har observert, så vil norske bedrifter først feie slike saker under teppet, så fornekte de offentlig, og så legge seg flate til slutt om de får en storm mot seg. Men politianmelde truer de alltid med.

Jeg tror veien etter jeg har lest dette er og kjøre hobby via bugcrowd da jeg har rep der, men kanskje la bedrifter kontakte meg? Har anskaffet masse tilbakemeldinger fra store bedrifter allerede jeg har "risket" meg på og tror jeg har nok til og heller markedsføre mine tjenester istedenfor

Ja, det er selvfølgelig lov å ta kontakt med bedrifter og høre om dette er noe de ønsker. Du kan også spørre om lov til å grave litt rundt før du eventuelt tar på deg en jobb. Det er ikke som om det å finne sikkerhetsfeil er ulovlig i seg selv. Problemet er at det er vanskelig å få tak i en person som faktisk har myndighet til å gi deg lov, og at denne beskjeden går ut til alle.

Dvs. du kan få lov av CEO i bedriften, men likevel ende opp med trøbbel. Dette f.eks. fordi en arbeider lengre ned på stigen oppdager forsøk på innbrudd, og setter i gang med sine rutiner, og sjefene er ikke klar over hva disse rutinene går ut på - eller får ikke beskjed før det er for sent. Derfor er det veldig viktig å bruke litt tid på å ha det formelle i orden, fremfor å bruke mye tid og penger på å ro deg inn igjen når det først går galt.

Skal nevnes at det finnes en del OSINT-verktøy der ute som faktisk gjør rudimentær scanning av systemer 24/7, og som du kan søke i metadataene til. Hvis du oppdager utdaterte versjoner av software e.l. blant disse dataene, så har du fortsatt en fot i døra for å markedsføre dine tjenester, uten å ha brutt loven selv. Men du må være forberedt på å forklare litt hvor du kom over metadata, og gjøre ditt beste for å ikke virke utpressende mot de. Et dårlig eksempel er om du sender en epost av typen "Jeg har fulgt med på dere en stund nå, og har oppdaget en del sikkerhetsfeil dere må fikse, ellers kan dataene deres komme på avveie. Mine tjenester starter på X kr/timen, og du kan kontakte meg på ...".

Sjekk om nettsida har security.txt
https://tools.ietf.org/html/draft-foudil-securitytxt-10

Eksempler:
https://www.finn.no/.well-known/security.txt
https://www.nrk.no/.well-known/security.txt

Så lenge du tar kontakt med firmaene, får en kontrakt med ett scope du holder deg innenfor så er du trygg.
Om du gjør ting på egenhånd, så er det veldig risk å ta...