Een zero-day (exploit) verkopen onder een officieel bug bounty programma zou je in de rechtzaal geen probleem mogen geven. Het zelf aanbieden aan voor jou onbekende kopers (dus b.v. via het darkweb of een generieke advertentie op het web) kan al voor grotere problemen zorgen. Zeker als later blijkt dat de koper een criminele organisatie of terrorist was. Het aanbieden bij een leverancier welke GEEN bounty programma heeft en wel een betaling af proberen te dwingen zal strafbaar zijn. Vervaardigen en in bezit hebben lijkt mij geen probleem als je een CV hebt welke je research status kan bevestingen. Ben je bijvoorbeeld stratenmaker en totaal niet technisch dan zal de aanklager het sneller proberen te gooien op "met het oogmerk dat daarmee een misdrijf wordt gepleegd." Meestal gebruik ik bug bounty programma's zoals ZDI, SSD of Hackerone en indien geen interesse hebben: responsible disclosure. Voor sommige leveranciers wijk ik daar van af en doe full disclosure omdat ze gewoonweg niet reageren / patchen. ...