https://www.theregister.co.uk/2019/09/19/iowa_pentester_update/

Ok maar wat is nou het probleem? Dit is toch de perfecte uitkomst van de test? Het lukte niet en degene die het
probeerde werd opgepakt. Kan niet beter zou ik zeggen.

test geslaagd...

Dit is een Europese manier van kijken naar het gebeurde.

Laten we eerlijk zijn. Dit is niet volgens de afspraak. Deze zijn dus niet nagekomen en reden voor...
Noem maar op. Dat is de Amerikaanse manier van kijken naar dit gebeurde.

Lezen jullie wel?

“This is not in scope”: said no attacker ever

Hoezo Amerikaanse manier van kijken? Als ik een pentest op een (andere) partij laat uitvoeren dan dek ik ook de scope goed af. Sowieso laat je de leverancier en pentester overenkomen dat de pentester computervredebreuk mag plegen. Bij een broncode review laat je een non-disclosure agreement tekenen en bij fysieke toegang tot andermans gebouw regel je ook gewoon expliciete toestemming.

Ze waren ingehuurd door de staat Iowa en de rechtbank waar ze inbraken was niet van de staat maar van de county, een district binnen de staat. Dat is een afzonderlijke rechtspersoon, de staat heeft geen zeggenschap over een gebouw dat eigendom is van de county en door de county wordt gebruikt. Een contract met de staat kan daarom geen toestemming opleveren om 's nachts in dat gebouw in te breken.

Het ligt eigenlijk nog wat ingewikkelder. In dat gebouw staan wel computers die bij het geteste systeem horen die, ook fysiek, mochten worden aangepakt, maar dat mochten de pentesters alleen tijdens kantooruren proberen. Voor acties buiten kantooruren (en dit was rond middernacht) waren aanvullende afspraken nodig, en er is tot nu toe niet gebleken dat die er waren.

Je kan zeggen dat het afgaan van een inbraakalarm en het optreden van de politie een geslaagde test vormen, het is alleen geen onderdeel van wat de staat mocht laten testen en zonder toestemming van de instantie die toestemming kan geven is een inbraak strafbaar.

Lijkt me niet. Bij ons geldt ook keihard dat als je geen toestemming hebt om ergens in te breken van iemand die die toestemming kan geven je fout zit als je toch inbreekt. En net als een officier van justitie het bij ons kan kan in de VS een openbaar aanklager besluiten om niet te vervolgen of om de eis af te zwakken.

Naja "niet volgende de afsrpaak". Dat is dus niet duidelijk. De staat dacht dat het alleen ging om acties tijdens kantooruren. En de onderzoekers dachten 24/7. En dat was nergens in een afspraak gedefinieerd.

Geweldige test en goed zo! in mijn optiek is dit juist goed, een hacker zal ook niet van tevoren aankondigen in welk netwerk bijvoorbeeld ze gaan proberen in te breken, zodat ze de *deur* dicht kunnen doen ;-)