Какую ответственность несет провайдер в случае взлома?

Question

[Владимир Коротенко]

Просто подумалось. То есть мне как конечному пользователю могут нанести ущерб от 100 т.р.
до нескольких миллионов.

А провайдер в суде разведет лапки и скажет ну это наши поставщики не обновляли прошивки 7 лет, а мы не при чем.
Так выходит?

Comments

[Михаил Р.]

Какую ответственность несет провайдер в случае взлома?

Провайдер чего?

То есть мне как конечному пользователю могут нанести ущерб от 100 т.р.
до нескольких миллионов.

Ущерб какого рода?

[Владимир Коротенко]

Михаил Р., Подмена DNS, Man-in-the-middle attack, Спуфинг
Если роутер захватить развлечений можно много придумать

[AlexVWill]

Владимир Коротенко,

Подмена DNS, Man-in-the-middle attack, Спуфинг
Если роутер захватить развлечений можно много придумать

Это все не ущерб, а способы... Ущерб надо а) рассчитать б) доказать что это по вине провайдера произошло.
А доказать будет непросто, учитывая что надо собрать кучу фактов для доказательной базы. Привлечь экспертов, спец. организации, имеющие право давать экспертные заключения, юристов и пр. Если ущерб будет большой (пару млн. долларов), то чисто теоретически можно привлечь к ответственности и провайдера, если будет доказано что провайдер нарушил условия договора о предоставлении услуг и иные правовые или нормативные акты, действующие на территории того государства, где находится его юрисдикция и произошло преступление.

Answer 1

[Константин Цветков]

Провайдер оказывает услугу передачи данных. Где вы берёте данные и что с ними делаете — ваша ответственность.

Comments

[Владимир Коротенко]

Смотри провайдер оказывает услуги предоставления доступа к телекоммуникационным услугам.

Из за своей жадности и недалекости использует оборудование не сертифицированное ФСТЭК и ФСБ.

Забить бы на это. Но мне нужен белый адрес. Маленькое исследование общеизвестным дистрибом позволило узнать пароль на эту коробочку.

В сетке куча госов. которым по статусу положено соблюдать ГТ и 152 фз.

И провайдер типа упирается мол мы даем терминал. Хотя должны давать волокно и параметры подключения

[Drno]

Владимир Коротенко, сертифицированное оборудование может иметь абсолютно такие же дыры. т.к. сертификация кроме покупки "сертификата" и переклейки наклейки производителя обычно ничего не несет за собой))

тебе уже ответили на вопрос, как решить эту ситуацию - поставить за терминалом роутер нормальный и всё)

[Владимир Коротенко]

Drno,

однако есть закон

УК РФ Статья 293. Халатность

КонсультантПлюс: примечание.

О выявлении конституционно-правового смысла ч. 1 ст. 293 см. Постановление КС РФ от 24.05.2021 N 21-П.

1. Халатность, то есть неисполнение или ненадлежащее исполнение должностным лицом своих обязанностей вследствие недобросовестного или небрежного отношения к службе либо обязанностей по должности, если это повлекло причинение крупного ущерба или существенное нарушение прав и законных интересов граждан или организаций либо охраняемых законом интересов общества или государства, -

То есть если админ забивал на патчи, или провайдер не менял дырявые терминалы, то он приходит

[GavriKos]

Владимир Коротенко, в таком случае вы должны подавать иск против провайдера, оплачивать экспертизу которая должна доказать, что вам был причинен ущерб именно благодаря действиям провайдера, и только тогда будет применена эта статья. И то если в договоре не написано, что провайдер именно обязан защищать ваши данные и сети. А скорее всего там написано обратное - "не несет ответственности за возможный ущерб".

Забить бы на это. Но мне нужен белый адрес. Маленькое исследование общеизвестным дистрибом позволило узнать пароль на эту коробочку.

В сетке куча госов. которым по статусу положено соблюдать ГТ и 152 фз.

А это кстати может уже быть нарушением договора с вашей стороны

[Владимир Коротенко]

GavriKos, Извините рисковать своими данными мне тоже как то не с руки, даже если эти дураки светят своих клиентов, хотя это явно запрещено в дефолтных настройках.

[Drno]

Владимир Коротенко, все люди, которые хоть немного понимают в ИТ, никогда не пользуются роутерами от провайдера)

[Владимир Коротенко]

Drno, Джедай втолкуй вот этим людям [e-mail]

что я хочу получить 3 параметра
vlan
pon serial
pon password

Все!
У меня есть оборудование, есть опыт

[Drno]

Владимир Коротенко, втолковываю тебе со стороны тех ПО.
«Такие данные мы клиентам не даем». Можете подключить своц роутер по витой паре, данные для авторизации в ppoe сессии мы Вам дадим

[Василий Банников]

Владимир Коротенко,

Из за своей жадности и недалекости использует оборудование не сертифицированное ФСТЭК и ФСБ.

А конкретно в твоём случае он обязан их использовать?

И провайдер типа упирается мол мы даем терминал. Хотя должны давать волокно и параметры подключения

Должны кому и на основании чего?

Вообще можно попробовать надавить на статью 274 УК, тк вроде даже по всяким регламентам РКН нельзя оставлять ненадёжные пароли.

Но вообще ИМХО это будет очень сложно доказать, даже в случае реального ущерба.

[AntHTML]

В сетке куча госов. которым по статусу положено соблюдать ГТ и 152 фз.

Владимир Коротенко, По ГТ знаете какое построение сетей и какая сертификация инфраструктуры идет? Там вообще компы и сети на которых обрабатывается ГТ идут отдельными обособленными каналами с несколькими ГОСТ-шлюзами, MPLS и часто вообще не пересекаются с INT и PON. А вот сеть для работы/интернета у госов - такая же как на любой шарашке и требования к ней устанавливают уже свои админы/ибшники и что их устраивает их же и волнует.

Answer 2

[aleks-th]

Вы с ним работаете как юрлицо или физлицо ?
Если как юрлицо то :
1. У провайдера с вами договор. Там написано за что он отвечает. Все остальное не его зона ответственности.

2. У провайдера есть определенный законом регламент, что он обязан сделать чтобы получить лицензию на услуги связи - если там все в порядке то у него умыты руки.

3. Ущерб вам нанесет не провайдер, а третьи лица , вот их и будут разыскивать в случае чего и маловероятно что найдут.

4. Доказать убытки и причинно следственную связь, именно с провайдером - будет нереально.

В лучшем случае провайдер вас не пошлет, а как-то поможет , но это маловероятно.
А компенсацию вы с него за взлом никакю не стрясете, так как в договоре он эти риски учел, и по договору он вам ничего не должен будет.

Answer 3

[Василий Банников]

Нет, так не работает.
Всякие законы о защите данных подразумевают целую кучу всяких компенсирующих мер.
Если у тебя поставщик не следит за обновлениями - значит ты сам должен больше защит применять - это раз.

Два - во время следствия будут искать того, кто тебе нанёс ущерб, а не того, кто принял недостаточно мер для защиты.

UPD: Если будут рассматривать иск о принесённом ущербе, то тут два варианта:
1. Провайдер тебе выплатит компенсацию, а потом сам пойдёт и обратится в суд на своего вендора
2. К ответу привлекут этого вендора, а провайдер будет лишь как свидетель.

UPD2: думал что речь об общении юридических лиц друг с другом, а тут оказывается просто терминал какой-то не такой провайдер домой поставил...

Comments

[Владимир Коротенко]

Ваши заметки правильны в случае уголовного дела.
Но в рамках гражданского производства раскрываются очень широкие перспективы

Answer 4

[GavriKos]

Вам ограбили квартиру. Злоумышленники легко проникли в дом, потому что не работало ЗПУ в подъезде. ЖЕС виноват в том что вас ограбили? Их даже на суд не вызовут.

Comments

[Владимир Коротенко]

Вызовут. Просто не стоит виктимблеймить и чувствовать себя терпилой.
Когда тебе вместо пулемета дают воздушный шарик, вполне резонно спросить что это за безобразие.
Причем в случае провайдера где вот эта вот железка стоит 1500 рублей и обновлялась 7 лет назад, это резонный вопрос а не переели ли эти господа рыбного супа?

[Drno]

Владимир Коротенко, по договору провайдер предоставляет тебе только канал доступа. но не железку , обычно так.

[Владимир Коротенко]

Drno, Вот в моем случае такой вот провайдер. Причем не хочет менять свое непонятно что на мое энтерпрайзовое решение

[Drno]

Владимир Коротенко, ну в десятый раз. Поставь свой роутер за из железкой. В ё. Вопрос решится

На месте провайдера я бы просто отказался с Вами работать. Слишком много гемора, это я про оптику

[Владимир Коротенко]

Drno, клиент всегда прав. Не так ли?

[Drno]

Владимир Коротенко, неа. Далеко не всегда и не везде.
Вам нечего им предложить или предъявить. Если Вы от их услуг откажитесь - для них ничего не изменится

[Владимир Коротенко]

Drno, в десятый раз повторяю

провайдер не хочет в режим бриджа.
этот его терминал содержит 40+ CVE
Выставлять это чудо в интернет это неразумно ибо все CVE относятся к днс, оно мне надо что бы подменили онлайн банк или еще что нибудь?

[GavriKos]

Владимир Коротенко, значит воспользуйтесь другим провайдером. Провайдер не обязан подстраиваться под вас. У вас есть требования, под которые не подходит данный поставщик услуг - все просто. Или смиритесь, или меняйте поставщика.

[Drno]

Владимир Коротенко, пока речь шла про доступ до оптики. Про бридж ты не говорил

Не хочет? Ну забей тогда - сделай dmz на свой роутер по витой паре, выстави dns от cloudflare и всё. Никаких подмен нигде не будет
Ну на крайняк можешь DoH заюзать для днс, на своем роутере. Тогда провайдер кроме шифрованного трафика вообще нигде ничего не увидит

Я так с роутерами от РТ делаю, если возникают проблемы с бриджом у них

Ну или если тебе еужен внешний IP можешь арендовать VPS, установить туда любой впн, подключать с пк и пробросить нужные порты

[AntHTML]

Владимир Коротенко, А Ваше энтерпрайзное решение сертифицировано с оборудованием провайдера? PON это такая экосистема, где каждый вендор мутит что-то свое, там нет четких стандартов как было с ADSL. Поэтому вполне возможно ONU Huawei будет спуфить и ложить весь куст на ZTE, поэтому провайдер и не идет на это. Тк. подрядчик сдал ему сертифицированную вендором инфраструктуру, и скорее всего в том договоре/инструкции и прописано, что в сеть можно включать только определенные модели оборудования, иначе вендор не несет гарантию за ее работоспособность.

Answer 5

[rPman]

В лучшем случае будет проходить в деле свидетелем ;)

Answer 6

[Михаил Р.]

Ущерб какого рода?

Подмена DNS, Man-in-the-middle attack, Спуфинг
Если роутер захватить развлечений можно много придумать

1. Нужно смотреть договор с провайдером, какие предусмотрены (и компенсации за них) там присутствуют (предположу - никаких).
2. Вам нужно будет доказать причинённый Вам ущерб, это множество экспертиз и вероятно, месяцы если не годы судебных тяжб.

Какую ответственность несет провайдер в случае взлома?

Зависит от п1 и п2.

А провайдер в суде разведет лапки и скажет ну это наши поставщики не обновляли прошивки 7 лет, а мы не при чем.
Так выходит?

Не совсем. Провайдер в суде заявит, что вообще ничего не было, затем скажет, что ущерб причинён не ими, а значит и вопросы не к ним.

Answer 7

[CityCat4]

Какие прошивки, ты о чем вообще? Какой-то шанс доказать вину прова в том, что проломили тебя - есть только тогда, когда у тебя в аренде оборудование прова - роутеры, оптоконвертеры. Тут еще можно пободаться за то, что пров вовремя не обновил прошивку, но и то нужно будет постараться доказать, что уязвимость, через которую проломили была эксплуатирована именно потому что прошивка [чего-то] содержит ее.

Если же ты подключен своим роутером - провайдер совершенно точно скажем "у нас лапочки". Он поставляет тебе тырнет, а уж как ты этот тырнет принимаешь - не его горе.

Comments

[Владимир Коротенко]

Именно тот случай оптоконвертер. Из самых дешевых с кучей уязвимостей.

[CityCat4]

Владимир Коротенко, Брат по несчастью, абонент РТК? У меня тоже стоит их говнокоробка. Но я сразу попросил перевести ее в режим моста, за ней поставил микротик, на котором наруливаю свои правила.

[Владимир Коротенко]

CityCat4, https://link-up-isp.ru/
но примерно такое же.

Как придет оборудование начну копаться.

Самый простой способ это взять ch340 и присоединится к плате к Com порту.

Важно не перепутать 3.3 вольта или 5

Дальше gpon serial И gpon password и возможно vlan светятся в загрузке.

Если просто остановится на этом то можно зашить эти данные в свой SFP и не забивать голову.

Если дальше. То берется JTAG отладчик и дампится память и флешка.

Binwalk позволяет распотрошить прошивку и поискать бэкдоры в ssh + telnet
Ну а самый цимус это считывание nvram тут пароли на морду и прочее.

https://www.neelc.org/posts/clone-calix-ont/
https://github.com/logon84/Hacking_Huawei_HG8012H_ONT
https://github.com/meh301/HG8045Q

В этих статьях описано примерно как, для конкретного SoC будут отличаться разве что адреса

[CityCat4]

Владимир Коротенко, говнокоробка не моя, в аренде, потрошить ее я не могу :)

[Владимир Коротенко]

CityCat4, ну что сказать иголочки или паук (тут должен быть смайлик)

[CityCat4]

Владимир Коротенко, это другой вариант "шашечки или ехать"? Хм, никогда не слышал... Можно полную версию?

[Владимир Коротенко]

CityCat4, Иголки это иголки они контактируют с пинам на плате.

Паук обычно надевается на flash то есть на каждую ножку идет контакт.

в общем я думаю идея понятна

[CityCat4]

Владимир Коротенко, Эх, давненько я отошел от работы с железом... Были конечно когда-то и мы рысаками, но давно покинули это ипподром :)

Answer 8

[pindschik]

Вот у вас угнали автомобиль, допустим, и в процессе перегона на нем сбили нескольких человек. Вина в ДТП не ваша, но ущерб здоровью пострадавших компенсируете именно Вы (и скорее всего даже ОСАГО не поможет, т.к. за рулем был другой водитель). Потому что есть Гражданский Кодекс и ответственность владельца источника повышенной опасности, к коим причислены автомобили.
С провайдерами так же, ответственность работает не по эмоциям и понятиям, а по договорам и законодательству. Вы прочитали договор с провайдером? Что там на эту тему? А в Законе о защите прав потребителя что на такой случай?
А если у вас квартира сгорит, компенсировать убытки должна мэрия города? Или только страховая, строго согласно заключенного договора с ней?