Sống Tốt HơnKhông có ủy quyền bằng văn bản thì không pentest hệ thống của người khác: “có ý tốt” hay “báo lại sau” không phải lý do miễn tội
Nói dễ hiểu
Luật xét bạn có được phép không và lấy được bao nhiêu, không xét bạn định làm gì. Ở Trung Quốc, lấy được 500 bộ tài khoản mật khẩu thông thường, hoặc kiếm 5.000 tệ, hoặc gây thiệt hại 10.000 tệ, là đủ xử tù đến 3 năm. Để chứng minh lỗ hổng mà tiện tay xuất một bảng người dùng thì thường một lần đã vượt 500 bộ. Có sẵn tài khoản mật khẩu mà dùng ngoài phạm vi được cho phép cũng bị coi là xâm nhập.
Bỏ ra
Không tốn tiền. Trước khi tham gia chương trình bug bounty của hãng hay kiểm thử thuê, lấy văn bản ghi rõ phạm vi, danh sách mục tiêu và khung giờ được test. Xác minh lỗ hổng có thật là dừng. Khó ở chỗ bỏ được cái “tiện tay thử luôn”.
Lưu ý
Hãng cảm ơn trước rồi quay lại báo công an, hai việc không mâu thuẫn; lời cảm ơn không phải là ủy quyền. Năm 2016 ở Trung Quốc có một “hacker mũ trắng” báo lỗ hổng của một trang hẹn hò lên nền tảng bên thứ ba, sau đó bị trang này báo công an và bị bắt; vụ này chỉ có báo chí đưa tin, không có bản án. Muốn làm thì qua chương trình công khai của hãng hoặc kiểm thử có hợp đồng; chứng minh lỗ hổng bằng bằng chứng tối thiểu, không lấy dữ liệu hàng loạt.
Ở Việt Nam
Ở Việt Nam, truy cập trái phép vào hệ thống của người khác cũng có thể bị xử lý hình sự. Chỉ kiểm thử khi có văn bản đồng ý của chủ hệ thống.