Законно ли обучать написанию программ для тестирования безопасности?

Question

[ElectroNoise]

Всем привет. Я преподаю python в СберБанке и МТС. Решил запустить курс в интернете на тему тестирования безопасности на python. Грубо говоря буду учить писать программы для брутинга, ботнетов и прочего. Как не словить срок за такой курс? Как правильно написать отказ от ответственности и что весь софт который будет написан студентами поставляется бесплатно, как есть, в ознакомительных целях и может применяться только для ресурсов которые разрешили тестирование на проникновение?

Comments

[JaxxDexx]

А что разве, написание и распространение вредоносного ПО не запрещено законом РФ?
Пруф

[Владислав Лысков]

а разве программы для брутинга, ботнетов == программы для тестирования безопасности?

[⚡ Kotobotov ⚡]

>буду учить писать программы для брутинга, ботнетов и прочего.
хех ну жди желающих посадить тебя на бутылку и без всяких ментов.

[Дмитрий Дарт]

Если всё же решите запускаться - напишите мне, помогу с рекламой

Answer 1

[АртемЪ]

Законно ли обучать написанию программ для тестирования безопасности?

Да.

буду учить писать программы для брутинга, ботнетов и прочего.

Обучение написанию таких программ вполне законно, а вот написание этих программ незаконно.
Но решается просто.
Пишите программы не для брутафорса и создания ботнетов, а для борьбы с брутофорсом и созданием ботнетов только и всего. Это законно.

Тут принцип какой если вы написали софт и позиционируете его как софт для взлома - это незаконно.
Если он предназначен для борьбы со взломом это уже законно. Хотя софт один и тот же.
Примерно как с ножом - если это холодное оружие, посадят, если это кухонный прибор все отлично.

Comments

[riot26]

Я бы послушал как кто-то будет обосновывать что программа для брутфорса является на самом деле программой для защиты от брутфорса

[Adamos]

riot26, элементарно же. Для программы, защищающей от брутфорса, нужны ТЕСТЫ ;)

[bask]

Программы для брутфорса часто называют "программами для восстановления пароля, если вы вдруг его забыли"

[АртемЪ]

riot26,

Я бы послушал как кто-то будет обосновывать что программа для брутфорса является на самом деле программой для защиты от брутфорса

Ну для начала, кому-то придется обосновать что программа предназначена для взлома.

Answer 2

[xmoonlight]

Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации

Несанкционированное и санкционированное - разницу понимаете?!

Можно, если программы пишутся заведомо для санкционированного использования: обучение, лабораторный пин-тестинг сети на безопасность, и т.д.

Т.е., написав любую из них, вы не будете никого пытаться взломать с помощью такой программы!

Написал брут, потестил на своём или учебном демо-стенде (обязательно взяв расписку на предоставление санкционированного доступа у учителя!) - всё нормально.
Потестил брут (программу) не санкционировано - применима статья 273 УК РФ.

Comments

[MechaDuragon]

Ага, будешь потом объяснять это в суде, с адвокатом на пару, да и то, не факт, что успешно.
Максимум, что можно сделать, и, при этом, точно не заиметь проблем с законом, это написать программу, эмулирующую перебор пароля (например вводя один и тот же, но много много раз), с четким описанием, что она нужна для тестирования реакции на превышение количества запросов.

[Adamos]

К сожалению, вся эта конструкция рассыплется с первым же студентом, который в свободное от обучения время... то есть с первым же студентом. И он сразу укажет, кто помог ему написать программу, которая...

[xmoonlight]

MechaDuragon, Adamos, что за бред пишите! Обучить писать программу, это не значит обучить взламывать!

[Adamos]

xmoonlight, в упомянутой вами статье нет ничего об обучении.
А вот п. 2 - "по предварительному сговору" - в эту ситуацию впишется на раз, как только ваш студент полезет с вашей программой на первый же серьезно защищаемый сайт.

[xmoonlight]

Adamos, это его проблемы, т.к. в рамках обучения - я получаю от него подпись (и даю ему бумагу со своей), что я разрешаю, а он ознакомлен, что применение программ, разработанных в рамках обучения санкционировано только в установленных рамках (на стендах лаборатории и т.д.).
Если он применяет лабораторную программу по своему личному усмотрению - это его личная ответственность, которую он несёт уже в личностном правовом секторе, в полной мере и полностью отвечает сам перед законом!

[Adamos]

xmoonlight, предполагаю, что полиции этого будет маловато. Желательно, чтобы разработка и использование таких программ в учебном процессе были санкционированы руководством учебного заведения, например.

[xmoonlight]

Adamos, Разумеется: если я являюсь сотрудником учебного заведения, то бумагу, явно я не от себя буду выдавать!)))

[Adamos]

xmoonlight, подозреваю также, что вы даже не представляете, как непросто будет убедить кого-нибудь из тех, кто может взять на себя ответственность за такую бумагу, сделать это, когда речь идет о статье УК.

[xmoonlight]

Adamos, это МЕГА! просто: либо он подписывает, либо не учится здесь.

[Adamos]

xmoonlight, ну, я думал, что написанное мной тоже несложно для понимания - и посмотрите, насколько мимо ваш ответ...

[xmoonlight]

Adamos, где смотреть? по лайкам?

[MechaDuragon]

xmoonlight, Адамос написал

как непросто будет убедить кого-нибудь из тех, кто может взять на себя ответственность за такую бумагу, сделать это, когда речь идет о статье УК.

Это вы директору учебного заведения скажете, что он здесь не учится?

В любом случае, Адамос прав и в том смысле, что это филькину грамоту далеко не каждого начальника убедишь подписать, и в том, что жопу ею не прикроешь все-равно.

И я не знаю, откуда вы взяли выделенное полужирным шрифтом в вашем ответе, но я не слышал ни о каких подобных исключениях. Даже если это будет написано в регламенте учебного заведения, оно не будет иметь юридическую силу, так как противоречит УК РФ.

[xmoonlight]

MechaDuragon, как именно противоречит?

[MechaDuragon]

xmoonlight, сами же какая статья применима написали.
Вот текст с комментариями: https://www.zakonrf.info/uk/273/
"Утрата секретной информации" посредством вашей программы, в том числе и её модифицированной (в определенных пределах) версией, будет оцениваться как минимум как "причинение вреда по неосторожности, повлекшее тяжелые последствия".

[xmoonlight]

MechaDuragon, Сканер безопасности (даже не в рамках обучения) - это точно не программа, заведомо предназначенная для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации.
Иными словами, сканер безопасности разрабатывать можно, т.к. он заведомо предназначен для защиты от сетевых проникновений и служит для предотвращения сетевым угрозам.

А про "утрату секретной информации" в тестовой учебной лаборатории - я уже всё выше описал.

[MechaDuragon]

xmoonlight, "сканеры безопасности" это лишь частный случай. И вредоносные его вариации тоже попадают под эту статью. На самом деле навредить можно даже Nessus-ом, правда в этом случае разработчики уже ответственность никакую не понесут, потому как один фиг вне нашей юрисдикции находятся.

Еще раз повторяю, не помогут вам филькины грамоты когда ваш ученик понесет ваше проприетарное программное обеспечение себе домой, упертые студенты - существа такие, что даже физически отключенные USB порты и отсутствие подключения через интернет далеко не каждого останавливает как от копирования на компьютер чего-нибудь ненужного, так и с вытаскивания с него того, что нельзя.

[xmoonlight]

MechaDuragon, он понесёт только своё, т.к. сам его будет писать в рамках обучения. И отвечать - тоже придётся ему за свои действия.

Answer 3

[profesor08]

Я не спец, поэтому законами тыкать не буду. Обучай учеников методам противодействия различным видам угроз, пишите вместе свои программулички, а потом пишите для них тесты. И вот эти вот тесты и будут проверять устойчивость программулин. Доброе дело же.