◾️پانوشتی بر اطلاعیه مرکز ماهر:
1️⃣هنگام نگارش این متن، سایت مرکز ماهر در دسترس نبود! لذا منبع این اطلاعیه یکی از خبرگزاری ها معرفی شده است.
2️⃣دعوت مرکز ماهر از متخصصان برای گزارش کردن آسیب پذیری ها به این مرکز قابل تقدیر است. اما آیا نباید بستری وجود داشته باشد تا شأن متخصصان خیرخواهی که آسیب پذیری ها را گزارش می کنند حفظ شود؟
چندی پیش یک DB بدون Password با بیش از 300 گیگابایت اطلاعات روی IPهای سازمان فناوری اطلاعات کشف شد (توسط یکی از مخاطبین کانال) و بلافاصله به مرکز ماهر اطلاع رسانی شد. بعد از چند روز تاخیر مشکل برطرف شد. اما گفته شد چیز مهمی نبوده است! همزمان حداقل 5 مورد آسیب پذیری قطعی در سازمانهای دیگر به مرکز ماهر اعلام شد اما کسی مستندات را مطالبه نکرد. آیا با این رویه مرکز ماهر، انگیزه ای برای گزارش مشکلات توسط متخصصان دلسوز و هکرهای کلاه سفید باقی می ماند؟
3️⃣مرکز ماهر باید خانه امن همه متخصصان امنیت و هکرهای کلاه سفید باشد. این همکاری بدون تخصیص پاداش نه مفهومی دارد و نه دوامی. مرکز ماهر باید برای کسب موفقیت در جلب مشارکت هکرهای کلاه سفید ساز و کار مالی و بودجه در نظر بگیرد و به گزارشات Bugها پاداش متناسب بدهد. Bugها می توانند از گزارش یک آسیب پذیری کوچک در یک استارتاپ باشند تا گزارش Access level 15 به Router یک وزارتخانه!
4️⃣مجددا تاکید می شود مشکل اصلی ما ضعفهای انبوه قانونی در صیانت از حقوق شهروندان است. ما نیاز مبرم به نسخه بومی سازی شده GDPR داریم. در GDPR فقط بحث جرائم مطرح نیست. GDPR کمک می کند که سازمانها الزاماتی را در پیاده سازی رعایت کنند تا امنیت کاربران کمتر به خطر بیفتد. علاوه بر این، هیچ قانونی وجود ندارد که از هکرهای کلاه سفید محافظت کند. آیا مرکز ماهر می تواند تضمین بدهد که علیه هکرهای کلاه سفید که مشکلات امنیتی را به مرکز ماهر گزارش می دهند پرونده قضایی به جرم تلاش برای ورود غیرمجاز به سیستم های اطلاعاتی دولتی تشکیل نخواهد شد؟
5️⃣ مرکز ماهر زیر مجموعه دولت محسوب میشود. اما نباید لختی سیستم های دولتی در مرکز ماهر دیده شود. مرکز ماهر باید چابک و سریع و وسط میدان باشد و بطور موثر به موضوعات رسیدگی کرده و یا اطلاع رسانی کند.
6️⃣ امیدواریم این نقدها که صرفا از سر دلسوزی است و درد دلهای بسیاری از متخصصان دلسوز کشور است به گوش دوستان عزیز ما در مرکز ماهر و سازمان فناوری اطلاعات برسد و مرکز ماهر کمی از پشت پرده بیرون بیاید و زمینه را برای جلب مشارکت عمومی کارشناسان و متخصصان فراهم کند. آسیب پذیری ها بسیار زیاد است. خیلی فراتر از آنچه که خبرهایش منتشر می شود. مرکز ماهر نمی تواند به تنهایی از عهده این حجم از آسیب پذیری ها و رخنه ها برآید. همه ما باید به هم کمک کنیم.
🆔 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
1️⃣هنگام نگارش این متن، سایت مرکز ماهر در دسترس نبود! لذا منبع این اطلاعیه یکی از خبرگزاری ها معرفی شده است.
2️⃣دعوت مرکز ماهر از متخصصان برای گزارش کردن آسیب پذیری ها به این مرکز قابل تقدیر است. اما آیا نباید بستری وجود داشته باشد تا شأن متخصصان خیرخواهی که آسیب پذیری ها را گزارش می کنند حفظ شود؟
چندی پیش یک DB بدون Password با بیش از 300 گیگابایت اطلاعات روی IPهای سازمان فناوری اطلاعات کشف شد (توسط یکی از مخاطبین کانال) و بلافاصله به مرکز ماهر اطلاع رسانی شد. بعد از چند روز تاخیر مشکل برطرف شد. اما گفته شد چیز مهمی نبوده است! همزمان حداقل 5 مورد آسیب پذیری قطعی در سازمانهای دیگر به مرکز ماهر اعلام شد اما کسی مستندات را مطالبه نکرد. آیا با این رویه مرکز ماهر، انگیزه ای برای گزارش مشکلات توسط متخصصان دلسوز و هکرهای کلاه سفید باقی می ماند؟
3️⃣مرکز ماهر باید خانه امن همه متخصصان امنیت و هکرهای کلاه سفید باشد. این همکاری بدون تخصیص پاداش نه مفهومی دارد و نه دوامی. مرکز ماهر باید برای کسب موفقیت در جلب مشارکت هکرهای کلاه سفید ساز و کار مالی و بودجه در نظر بگیرد و به گزارشات Bugها پاداش متناسب بدهد. Bugها می توانند از گزارش یک آسیب پذیری کوچک در یک استارتاپ باشند تا گزارش Access level 15 به Router یک وزارتخانه!
4️⃣مجددا تاکید می شود مشکل اصلی ما ضعفهای انبوه قانونی در صیانت از حقوق شهروندان است. ما نیاز مبرم به نسخه بومی سازی شده GDPR داریم. در GDPR فقط بحث جرائم مطرح نیست. GDPR کمک می کند که سازمانها الزاماتی را در پیاده سازی رعایت کنند تا امنیت کاربران کمتر به خطر بیفتد. علاوه بر این، هیچ قانونی وجود ندارد که از هکرهای کلاه سفید محافظت کند. آیا مرکز ماهر می تواند تضمین بدهد که علیه هکرهای کلاه سفید که مشکلات امنیتی را به مرکز ماهر گزارش می دهند پرونده قضایی به جرم تلاش برای ورود غیرمجاز به سیستم های اطلاعاتی دولتی تشکیل نخواهد شد؟
5️⃣ مرکز ماهر زیر مجموعه دولت محسوب میشود. اما نباید لختی سیستم های دولتی در مرکز ماهر دیده شود. مرکز ماهر باید چابک و سریع و وسط میدان باشد و بطور موثر به موضوعات رسیدگی کرده و یا اطلاع رسانی کند.
6️⃣ امیدواریم این نقدها که صرفا از سر دلسوزی است و درد دلهای بسیاری از متخصصان دلسوز کشور است به گوش دوستان عزیز ما در مرکز ماهر و سازمان فناوری اطلاعات برسد و مرکز ماهر کمی از پشت پرده بیرون بیاید و زمینه را برای جلب مشارکت عمومی کارشناسان و متخصصان فراهم کند. آسیب پذیری ها بسیار زیاد است. خیلی فراتر از آنچه که خبرهایش منتشر می شود. مرکز ماهر نمی تواند به تنهایی از عهده این حجم از آسیب پذیری ها و رخنه ها برآید. همه ما باید به هم کمک کنیم.
🆔 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
Comments
Be the first to add a comment
Log in to comment