Sicherheitslücke endeckt Belohnung?

Quote:

Originally Posted by .StarSplash Der Markt mit Sicherheitslücken ist ein sehr großer, es werden nicht selten Finder mit 5 oder 6 stelligen Beträgen entlohnt, wenn sie die Fehler dem Entwickler zukommen lassen. Es gibt auch Firmen die machen nichts anderes als Sicherheitslücken zu suchen und zu verkaufen. Das ist absolut nicht unmoralisch.

Natürlich ist es das. Es als Dienstleistung anzubieten ist eine Sache, jemanden mit einer zufällig gefundenen Lücke zu erpressen eine völlig andere.
Ich weiß auch nicht, inwiefern die Tatsache, dass es dafür einen Markt gibt, es weniger unmoralisch macht.

Wenn ich eine Information habe, die du gerne hättest, ich sie dir aber nicht geben will weil ich keinen Anreiz dafür habe, ist das Erpressung? Erpresst dich dein Steuerberater also auch? Du drohst ihnen ja nicht damit, die Lücke zu nutzen wenn sie nicht zahlen.

Die Firma kann dich auch nicht anzeigen weil du über die Lücke bescheid weißt, warum denn auch, Wissen ist kein Verbrechen. Umgekehrt kannst du aber natürlich klagen wenn du mit ihnen eine Entlohnung ausgemacht hast, diese aber nicht erhältst.

Was soll daran denn unmoralisch sein? Wenn dein Auto kaputt ist, zahlst du dem Mechaniker auch etwas, damit er dir sagt was kaputt ist. Ist das auch unmoralisch von dem? Sollte der dir lieber umsonst helfen, damit dich der Totalschaden deines Wagens nicht in den finanziellen Ruin treibt?

Quote:

Originally Posted by .StarSplash Wenn ich eine Information habe, die du gerne hättest, ich sie dir aber nicht geben will weil ich keinen Anreiz dafür habe, ist das Erpressung? Erpresst dich dein Steuerberater also auch? Du drohst ihnen ja nicht damit, die Lücke zu nutzen wenn sie nicht zahlen. Die Firma kann dich auch nicht anzeigen weil du über die Lücke bescheid weißt, warum denn auch, Wissen ist kein Verbrechen. Umgekehrt kannst du aber natürlich klagen wenn du mit ihnen eine Entlohnung ausgemacht hast, diese aber nicht erhältst. Was soll daran denn unmoralisch sein? Wenn dein Auto kaputt ist, zahlst du dem Mechaniker auch etwas, damit er dir sagt was kaputt ist. Ist das auch unmoralisch von dem? Sollte der dir lieber umsonst helfen, damit dich der Totalschaden deines Wagens nicht in den finanziellen Ruin treibt?

Es gibt einen Unterschied zwischen einem Dienstleister, den ich gezielt damit beauftrage und einem zufälligen Finder.
Sich bei Letzterem zu bedanken ist Sache der Höflichkeit, es an seiner Stelle zu verlangen dreist.

Habe ich irgendwo von illegal gesprochen? Mir ist bewusst, dass ein Unternehmen dich dafür nicht belangen könnte. Ich sagte unmoralisch.
Unmoralisch ist die Tatsache, dass du keinen Anreiz bis auf Geld hast, eine zufällig gefundene Lücke, die dir weder Arbeit noch Kosten verursacht hat, zu melden.

Ich denke dabei können wir es belassen. Jeder hat bekanntlich eine andere moralische Hemmschwelle.

Quote:

Originally Posted by MrSm!th Es gibt einen Unterschied zwischen einem Dienstleister, den ich gezielt damit beauftrage und einem zufälligen Finder. Sich bei Letzterem zu bedanken ist Sache der Höflichkeit, es an seiner Stelle zu verlangen dreist. Habe ich irgendwo von illegal gesprochen? Mir ist bewusst, dass ein Unternehmen dich dafür nicht belangen könnte. Ich sagte unmoralisch. Unmoralisch ist die Tatsache, dass du keinen Anreiz bis auf Geld hast, eine zufällig gefundene Lücke, die dir weder Arbeit noch Kosten verursacht hat, zu melden. Ich denke dabei können wir es belassen. Jeder hat bekanntlich eine andere moralische Hemmschwelle.

Mich würde mal Interessieren was du immer mit dem "Zufällig gefunden" hast.
Der TE hat nirgends erwähnt dass er es Zufällig gefunden hat.
Evtl. hat er gezielt theorien durchprobiert.

Und selbst wenn es zufällig war, wo ist der Unterschied?
Ob ich zufällig eine Lücke finde und Geld verlange, oder gezielt eine Lücke finde und Geld verlange.
Deiner Meinung nach wäre beides unmoralisch.

Ich kann nur sagen, ein Entgeld für eine solche Lücke zu geben ist das Mindeste und zeugt von Courage.

Google machts meiner Meinung nach richtig.
Bietet Hackern Geld für gefundene Lücken.

Quote:

Originally Posted by Crack-wtf Google machts meiner Meinung nach richtig. Bietet Hackern Geld für gefundene Lücken.

Jop, ich bin deiner Meinung. :)

Wovon ihr die ganze Zeit redet, nennt man außerdem auch Bug Bounty.

Ich sehe das so wen er dir kein Geld gibt würde ich mit dem Bug an die Presse gehen und dann ist es in aller munde .
Moralisch oder nicht spielt keine Roller den du wirst für ihn interessant du weißt Sachen die er nicht weiß über sein Programm.
Erpressen ist das nicht würde ich sagen vielleicht weiß der Software Hersteller von dem Problem will es aber nicht beheben und wen soll das Casion ,what ever.... dafür blechen und das nicht zu wenig ist doch eine gute Geschäftsidee Man Produziert etwas und verkauft es aber wen man es funktionsfähig haben will soll man noch mal das doppelte zahlen :D

Quote:

Originally Posted by MrSm!th Es gibt einen Unterschied zwischen einem Dienstleister, den ich gezielt damit beauftrage und einem zufälligen Finder. Sich bei Letzterem zu bedanken ist Sache der Höflichkeit, es an seiner Stelle zu verlangen dreist. Habe ich irgendwo von illegal gesprochen? Mir ist bewusst, dass ein Unternehmen dich dafür nicht belangen könnte. Ich sagte unmoralisch. Unmoralisch ist die Tatsache, dass du keinen Anreiz bis auf Geld hast, eine zufällig gefundene Lücke, die dir weder Arbeit noch Kosten verursacht hat, zu melden. Ich denke dabei können wir es belassen. Jeder hat bekanntlich eine andere moralische Hemmschwelle.

Einer deiner Vorposter nahm Bezug auf die Illegalität des Ganzen, nicht du.

Was macht es für einen Unterschied, ob ich eine Privatperson oder ein Dienstleister bin? Was ist für den Fall, dass die dienstleistende Person in ihrer persönlichen Freizeit, ohne auf der Suche danach zu sein, einen Fehler findet?

Inwiefern ist es für eine Privatperson dreist, für ein Unternehmen jedoch nicht? Worin liegt hier der Sinn, entweder ist es immer dreist oder garnicht.

Wieso ist es unmoralisch eine Information für Geld herzugeben? Wie gesagt, dein Steuerberater oder dein KFZ Mechaniker geben dir auch keine Informationen für lau.

Im Übrigen erfordert das Finden eines Bugs IMMER Arbeit.

Ich hatte das ganze Thema letztes Jahr mit einer Bank. Mein damaliger Chef war so nett und hat seinen Anwalt gefragt. An was ich mich noch erinnere: Zu sagen, dass man eine Lücke gefunden hat und dann Geld zu verlangen, ist Erpressung / kann als Erpressung ausgelegt werden.

Quote:

Wieso ist es unmoralisch eine Information für Geld herzugeben? Wie gesagt, dein Steuerberater oder dein KFZ Mechaniker geben dir auch keine Informationen für lau.

Weil du sie damit beauftragt hast, haben sie diese Informationen für dich erarbeitet. Hier kommt jemand einfach vorbei und sagt "Hey, bezahl mich, ich hab Informationen", das dürfte nochmal was anderes sein.

Wieso sollten die dich verklagen ich glaube die werden das nicht so schlimm finden
und lieber den Fehler beheben und dir dafür danken.

Ihr pech ... mach einfach weiter und verdien so geld

Quote:

Originally Posted by snow911 Ich hatte das ganze Thema letztes Jahr mit einer Bank. Mein damaliger Chef war so nett und hat seinen Anwalt gefragt. An was ich mich noch erinnere: Zu sagen, dass man eine Lücke gefunden hat und dann Geld zu verlangen, ist Erpressung / kann als Erpressung ausgelegt werden. Weil du sie damit beauftragt hast, haben sie diese Informationen für dich erarbeitet. Hier kommt jemand einfach vorbei und sagt "Hey, bezahl mich, ich hab Informationen", das dürfte nochmal was anderes sein.

Wieso sollte es Erpressung sein, wenn du nicht vorhast die Lücke zu nutzen?


Drohst du mit Gewalt? Nein. Drohst du mit einem empfindlichen Übel? Nein.

Quote:

Originally Posted by .StarSplash Einer deiner Vorposter nahm Bezug auf die Illegalität des Ganzen, nicht du. Was macht es für einen Unterschied, ob ich eine Privatperson oder ein Dienstleister bin? Was ist für den Fall, dass die dienstleistende Person in ihrer persönlichen Freizeit, ohne auf der Suche danach zu sein, einen Fehler findet? Inwiefern ist es für eine Privatperson dreist, für ein Unternehmen jedoch nicht? Worin liegt hier der Sinn, entweder ist es immer dreist oder garnicht. Wieso ist es unmoralisch eine Information für Geld herzugeben? Wie gesagt, dein Steuerberater oder dein KFZ Mechaniker geben dir auch keine Informationen für lau. Im Übrigen erfordert das Finden eines Bugs IMMER Arbeit.

Weil ein Dienstleister seinen Lebensunterhalt damit verdient, das jedem bekannt ist und man ihn auch ggf. freiwillig damit beauftragt.
Jemand, der ohne nennenswerten Aufwand, z.B. durch Zufall, auf eine Lücke gestoßen ist, hat dadurch keine Kosten und insofern stellt es für ihn keinen Verlust dar, die Lücke nicht zu verkaufen.
Wenn ich auf der Straße jemanden mit einer Panne sehe und ihm helfen kann, verlange ich dafür auch nicht direkt Geld.
Es geht nicht um die Bezahlung, es geht um die Forderung danach.
Es ist und bleibt eine Gefälligkeit. Belohnungen dafür sind legitim, sie zu verlangen dreist.

Ich kann mir außerdem gut vorstellen, dass ein guter Anwalt das als Erpressung darlegen kann. Immerhin stellt sich die Frage, was du denn mit der Lücke anstellst, wenn du kein Geld bekommst. Nimmst du den Verlust dann etwa einfach so hin?
Zudem ist es ohnehin immer kritisch, Sicherheitslücken gezielt ohne die Zustimmung des Betreibers zu suchen, denn es kann immer auch als böswilliger Angriff gewertet werden. Pentester holen sich nicht ohne Grund vorher eine Einverständniserklärung.
Und wenn man nicht gezielt danach sucht, wären wir wieder bei der Gefälligkeit.