脆弱性調査と倫理

「人々がコンピューターセンターに入ったとき、彼らは倫理をドアから離れたように思われた」
ドンパーカー、「情報処理の倫理規則」、1968

「人々がコンピュータセンターに入ったとき、彼らは倫理をドアから離れたようです」
ドンパーカー、「情報処理の倫理規則」、1968

すべてに弱点があります。ウイルスや時間の経過前の私たちの体、記憶や心の中に。 私たちが作成するソフトウェアも不完全です。

この記事では、脆弱性の検索と研究の倫理の問題を検討しようとします。

おそらく、その歴史を通じて人類はさまざまな分野で脆弱性を求めてきました。 たとえば、薬。 下の写真では、医学者は人体がどのように機能するかを理解するために故人の体を研究しています。


タルプ博士の解剖学レッスン。 1632.レンブラント

私の意見では、医学の歴史とソフトウェアの脆弱性研究の歴史には多くの共通点があります。 少し前までは、医学研究者は医学研究を行ったとして有罪となる可能性がありました。 そのような作品は、教会国家のイデオロギーに反していました。 時間が経つにつれて、人類は医学研究と実験の必要性を確信するようになりましたが、同時に特定の規則が開発され、そのような研究の推奨事項がありました。 たとえば、ニュルンベルクコード（1947）（1）またはベルモントレポート。 研究対象の被験者を保護するための倫理原則とガイドライン」、1979年（2）

情報技術は私たちの生活のあらゆる側面と密接に絡み合っているため、それらなしでは現代性を想像することは絶対に不可能です。 ただし、すべてのテクノロジーには脆弱性があり、その使用は人間にとって脅威です。

なぜ脆弱性を探しているのですか？

人々は脆弱性を検索するためのまったく異なる動機を持つことができます。

-好奇心;
-研究関心;
-利己的な関心;
-有名になり、評判を獲得したいという欲求。
-個人的な動機の範囲;
-善行をしなさい。

人が脆弱性を検索するための適切な資格を持っている場合、倫理的な状況は興味深いように見えますが、これを行いません。

この質問に対する答えを見つけるために、私はわずかに修正されたハインツのジレンマを検討することを提案します。
女性は特定の形の癌で死にます。 医師によると、彼女を救うことができる薬は1つだけです。 これは最近発見された薬です。 薬を作るのは高価です。 しかし、製薬会社は価格を10倍高く設定しました。

病気の女性の夫であるハインツは、彼のすべての友人を歩き回り、できる限り借りて、すべての法的手段を使用しましたが、約半分の金額しか集めませんでした。 彼は製薬会社に助けを求め、薬の価格を下げるか、分割払いで販売するように頼みました。 しかし、同社は価格設定方針を変更するつもりはないと答えた。
そして、ハインツは会社の企業ネットワークに侵入し、薬の製法と製造方法を盗み、妻のために薬を作ることができる人にこの情報を伝えることにしました。

ハインツは薬を盗むべきですか？ なんで？
ハインツが妻を愛していなかったら、彼は彼女のために薬を盗まなければならないでしょうか？
死んでいたのは妻ではなく、見知らぬ人だったとしましょう。 ハインツは見知らぬ人のための治療法をこっそりする必要がありますか？ なぜイエスかノーですか？

最も重要なこと：このジレンマに対する「正しい」解決策はありません！ 製薬会社をハッキングする必要があると人が信じる場合、それをより道徳的またはそれほど道徳的とは言えません。 全体の問題は、決定がどのように行われるかです（3）

この点で、ブルース・シュナイアー（4）の立場は興味深いと彼は言います。

私にとっての問題は、脆弱性調査を行うことが倫理的かどうかではありません。 誰かが問題を分析し、より良い洞察を提供するスキルを持っている場合、問題は彼が脆弱性の研究をしないことが倫理的かどうかです。

私にとっての問題は、脆弱性の調査が倫理的かどうかではありません。 誰かが問題を分析し、よりよく理解する能力を持っている場合、問題は彼が脆弱性調査を行わないことが倫理的かどうかです。

おそらく、中心的な問題はソフトウェアの脆弱性を調査するかどうかではなく、この研究者がそのような仕事を行うための倫理性、そのような研究を行うことができるかどうか、そして研究自体の倫理性ではないという意見に部分的に同意することができますもちろん、法律の適用可能性の問題はまだあります。

ITにはどのような倫理的行動規範がありますか？

- 「IEEE倫理規定」 ; （5）
- 「ACM倫理および職業行動規範」 ; （6）
- 「ソフトウェア工学倫理規範 。 」 （7）

倫理的脆弱性調査の原則

記事「情報セキュリティにおける実証研究と研究倫理」（8）の著者は、情報セキュリティの分野における倫理研究の原則の以下のリストを提供しています。

-積極的に人間を傷つけないでください。
-悪いことが起こるのを見ないでください。
-違法行為を行うために違法行為を行わないでください。
-Undercover Researchを実施しないでください。
-------------------------------------------------- -------------------------------------
-人を傷つけないでください。
-離れないでください。
-違法行為を終了するために違法行為をしないでください。
-秘密の調査を行わないでください。

オーストラリア国際開発評議会（ACFID）には、一般的な研究を開始する前に回答しなければならない10の質問（9）がリストされています。

研究を計画する際には、次のことを考慮してください。

1. 調査は必要かつ合理的ですか？ 勉強するために何を探していますか、なぜそれが重要ですか？
2. 研究は十分に計画されていますか？ 組織の特定の作業プログラムに接続していますか？ 研究者は研究を行うための適切な知識を持っていますか？
3. 研究が実施されるコンテキストは何ですか？ このコンテキストは研究デザインにどのように影響しますか？
4. 方法論と分析はどのように状況に適合し、何が研究されていますか？
5. 研究から生じる可能性のある研究者と参加者にとっての潜在的な害と利益は何ですか？
6. どのような研究情報が参加者に提供されますか？ 研究プロセス全体で、無料のインフォームドコンセントを取得し、保証する方法は？
7. 調査に関係する他の関係者またはパートナーはいますか？ 彼らの研究への関心は何ですか？ 研究から直接または間接的に利益を得るのは誰ですか？
8. プライバシーと匿名性をどのように保護しますか？ データはどうなりますか？ それらはどのように整理され、保護されますか？
9. 研究者は、倫理的問題に関するトレーニング、情報、および支援を受けていますか？
10. 結果はどのように配布され、使用されますか？ 参加者は調査結果を確認および取得するためのアクセス権を持っていますか？ 調査が完了するとどうなりますか？

また、「コンピューターセキュリティ研究における倫理的行動のためのコミュニティ標準に向けて」（10）の記事からいくつかの質問を引用する価値があります。

-研究結果は特定の集団を保護することを目的としていますか？もしそうであれば、どの集団を保護しますか？ （たとえば、感染したホストの所有者、ボットネットを使用した二次攻撃の被害者、研究者自身の機関、または一般的なインターネットユーザー。）
-犯罪ボットネットの行動を研究する際に、社会に複数の利益を同時に達成する方法はありますか？ （たとえば、犯罪行為の調査を支援し、被害を受けたネットワークサイトを支援しながら、新しい防御を開発しますか？）
-研究結果の公表から誰がより多くの利益を得るか、どの順序で：犯罪行為の被害者。 市民を保護する責任のある当局。 研究者自身。 またはコンピューター犯罪を犯している犯罪者？
-目的の研究結果を達成する他の方法はありますか？

• 研究結果は、特定のサークルの人々を保護するように設計されています。もしそうなら、誰ですか？ （たとえば、感染したホストの所有者、二次ボットネット攻撃の被害者、彼ら自身の研究機関、またはインターネットユーザー？）
• 犯罪ボットネットの動作を研究する際に、社会に複数の利益を同時に得る方法はありますか？ （たとえば、犯罪行為の調査と感染したネットワークサイトの支援に役立つ新しい救済策を開発するには？）
• 研究結果の公表から誰が最も利益を得るのか、どのような順序で：犯罪行為の被害者。 市民を保護する責任のある機関。 研究者自身。 またはコンピューター犯罪を犯している犯罪者ですか？
• 望ましい研究結果を達成する他の方法はありますか？

いくつかの結論と提案

上記を分析すると、回答が必要な質問には少なくとも2つのカテゴリがあると言えます。

研究者倫理

始める前に、研究者は自分に質問をする必要があります：「 私は私に危害を加えますか？」
結局のところ、偶然にも、インターネットに「露出された」動作中の技術システムのインターフェースが研究の対象になったとしましょう。 あるケースでは、脆弱性を検索しようとすると、職場での短期的な誤動作、別のケースでは、事故、ひいては人間の被害者につながる可能性があります。

私の意見では、2番目の重要な問題は、研究者の「利益相反」です 。

このメッセージを明確にしようとします。研究者自身が研究の特定の結果に興味がある場合、研究を放棄する価値があります。 たとえば、有名な情報セキュリティスペシャリストは、親会社が支配権を所有している会社のセキュリティの監査を実施します。このようなスペシャリストの関心は明らかです。

第三に、 プライバシー 。
研究者が受け取った情報は、個人的な目的で使用したり、法律に反する他の方法で使用したりしないでください。

第4に、 プロフェッショナリズム -脆弱性の調査と研究における研究者の能力。 たとえば、5年の「紙上」の経験を持つ技術大学の1年生または情報セキュリティの専門家をこの問題の専門家と見なすことは可能ですか？

最低限の独立した評価が必要だと思います。例えば、仕事の分野ではある「合格点」です。 実際、外科医として勉強している学生が、人生経験を含む特定の経験を蓄積することなく、患者に手術を行うことを許可する人はいません。

研究倫理

研究自体に関しては、私の意見では、このようなグループの質問を検討する価値があります。

• 研究の目的。 目標が倫理研究の基準をどれだけ満たしているか。
• 例えば、研究者自身によると、研究の目的がペースメーカーのメーカーの株価の値に影響を与え、利益を上げ、差額の差額を支払うことである場合、ペースメーカーの安全性の研究の目的を倫理的と考えることは困難です。 MedSec Holdings CEOのJustine Boneへのインタビュー。
• 選択した研究方法論-研究目標をどれだけ達成するか
• 研究の境界 。 研究者は、作業を停止する価値がある時点を正確に理解する必要があります。
• 研究の客観性と完全性 。 この研究では、研究に関連する要因を考慮し、科学的に健全な方法を使用する必要があります。 研究会社の財務モデルは、研究の客観性に関する完全な保証を提供することはできませんが、ショートポジションで利益を上げることができますが、実際にはセキュリティ研究を競争力のあるツールに変えることができます。 St.の脆弱性についての結論に注意する必要がありますが Jude Medical、Inc.は、米国の裁判所の独立した専門家によって検証されています。 （ケース資料の付録Aを参照）（11）
• 選択された研究方法論 -研究目標を達成できる限り、この種の研究の客観性と完全性の原則を遵守します。
• 機密性の研究 。 「悪者」が不完全な研究結果を得た場合、これは悲しい結果につながる可能性があります。
• そして最も重要な質問は、プライバシーとそのセキュリティの分野で人権をどれだけ研究が侵害しているかです。 ペースメーカーを使用している人々は、自分の脆弱性を知っているため、この状況に無関心のままになることはほとんどありませんが、一方で、脆弱性に関する情報の配布を禁止することはできません。 これは、裁判所の判決によって直接示されています。

「原告の差止命令（注ごと：そのような情報に関して）が満たされなかった...原告は、マディウォーターズのレポートで詳述され、司教フォックスの分析で確認されたように、重大なセキュリティ脆弱性を持つ製品の販売を続けることができました。差し止め命令は、何千人もの疑いを持たない消費者の生命を脅かし、健康を危険にさらします。

上記を考慮すると、次の調査チェックリストの使用を提案することができます。

1.この研究は必要ですか？反対意見と反対意見は何ですか？
2.研究の真の目的は何ですか？
3.情報セキュリティの分野で会社で働いている場合、調査の目的は会社の目標と一致していますか？
4.研究者はそのような研究を行うための適切な知識を持っていますか？
5.設計は適切であり、方法論は研究の内部内容に対応していますか？
6.同様の研究結果を得る他の方法はありますか？
7.研究から生じる可能性のある、研究者および参加者への潜在的な害と利益は何ですか？
8.調査に参加している他の関係者やパートナーはいますか？ 彼らの研究への関心は何ですか？ 研究から直接または間接的に利益を得るのは誰ですか？
9.調査の周りに「利益相反」はありますか？
10.機密性と匿名性をどのように保護する予定ですか？ データはどうなりますか？ それらへのアクセスはどのように提供されますか？ データ保護をどのように整理しますか？
11.研究者は、倫理的問題に関するトレーニング、情報、および支援を受けていますか？

医学研究の歴史が示すように、検索と研究倫理の問題は常に、少なくとも情報技術の脆弱性の研究を管理する公的機関が形成されなければならないでしょう。

また、動作システムの信頼性と運用の継続性に関して、脆弱性研究の倫理の境界のレビューを拡大する価値があるかもしれません。 制御された研究環境でITサービスの低下が発生した場合、攻撃者による実際の予期しない攻撃で同じことが発生した場合、より良いでしょう。

脆弱性研究の倫理の方向での社会的プロセスが発展するだけであるという希望を表現する価値があります。 脆弱性に関する情報を開示するという観点から、このプロセスをすでに観察できると信じています。

次の記事では、ソフトウェアの脆弱性に関する情報を開示する際のアプローチと既存の慣行についてお話します。