La semplice segnalazione che utilizza HTTP anziché HTTPS per l'accesso e che ciò non è sicuro non dovrebbe farti accusare di pirateria informatica. È qualcosa di immediatamente visibile pubblicamente guardando il sito.

Esistono molti modi per rilevare le vulnerabilità che potrebbero effettivamente essere considerate hacking (ad esempio, eseguire uno scanner di vulnerabilità contro un bersaglio contro cui non sei autorizzato a eseguirlo), ma non ne sono a conoscenza giurisdizioni che prenderebbero in considerazione la possibilità di guardare la pagina e riconoscere un difetto immediatamente visibile come pirateria informatica. Sarebbe un po 'come camminare vicino a una casa, notare che qualcuno stava lasciando la porta aperta quando se ne andava ed essere accusato di essere un ladro quando gli hai fatto notare che ha lasciato la porta aperta (mentre tu non sei nemmeno in piedi loro proprietà.)

Se ignorano le tue e-mail, puoi provare a segnalarle all'organizzazione responsabile dell'applicazione del Data Protection Act. Non so da dove vieni, nel Regno Unito sarebbe http://ico.org.uk/concerns

Hanno la responsabilità di proteggere i tuoi dati.

Primo, non puoi far fare niente a nessuno. Come ex allievo, puoi sollevare le tue preoccupazioni personali sul fatto che le tue credenziali siano esposte, ma questo è tutto.

Non sono sicuro di come qualcuno considererebbe le tue azioni dichiarate come pirateria informatica, ma dipende dalla tua giurisdizione. Nel mio, catturare i propri pacchetti non è affatto illegale.

È un peccato che il supporto IT ti abbia portato al cestino della posta elettronica generale, ma devi seguire le loro procedure.

Ecco il mio approccio:

Prova a scoprire se la tua Università ha una persona responsabile della sicurezza. Forse hanno un'azienda che lo fa o hanno un dipartimento. Se è così, prova a contattare queste persone. Spesso sanno di cosa stai parlando.

Quando li contatti, non è necessario che tu gli dica di WireShark. Di '"Ho notato che il sito utilizza HTTP e, dato che lavoro nel campo della sicurezza informatica, so che significa che il mio nome e la mia password verranno inviati su Internet senza alcuna protezione di alcun tipo. Qualsiasi persona malintenzionata in qualsiasi rete tra te e me potrebbe rubare la mia identità in questo modo. Ne sei consapevole? "

Quindi il primo obiettivo è:" Ho trovato un rischio e so di cosa parlo ". Poi guarda come rispondono. Questa non è una situazione pericolosa per la vita. Va bene se ci vogliono un paio di giorni per risolverlo. Puoi usare diversi messaggi di posta per esprimere il tuo punto.

Se si rifiutano di crederti, dai loro una ricetta su come possono vedere da soli (installa Wireshark, usa questa regola, fai il login, guarda indietro cosa Wireshark te lo mostra). In questo modo, eseguono lo strumento "cattivo". In nessun momento, devi dire loro cosa hai fatto sul tuo computer. Se premuto, puoi dire "Ho utilizzato gli strumenti di sicurezza della mia azienda per acquisire i dati che il mio browser ti invia e ho visto che ..."

TL; DR - Essere professionali e umili farà molto. Essere riservati, orgogliosi o maliziosi ovviamente non finirà così bene. Se lavori con loro con calma e in privato, è probabile che facciano lo stesso.

Questo suona quasi incollato a come ho iniziato a trovare problemi con la sicurezza della mia università. La mia università stava inserendo l'ID dello studente in un cookie ed è con chi hai effettuato l'accesso. Se hai manipolato il cookie, ti sei registrato come chi volevi. È stata la scoperta che mi ha portato ad approfondire la loro sicurezza. Avevano anche un server di posta non sicuro che inoltrava qualsiasi cosa senza autenticazione. I nomi dei file delle immagini nella directory della scuola erano solo una strana codifica dell'ID di quello studente. A un certo punto, ho potuto cercare un SSN e ottenere il nome di uno studente.

Ho trovato questi bug un po 'alla volta. È iniziato con la sensazione che "le mie informazioni devono essere al sicuro e non lo sono" e vorrei segnalare all'IT l'ultimo difetto che ho scoperto. Dopo circa la terza volta che ho segnalato qualcosa, ho iniziato a sentirmi sia arrabbiato che superiore al dipartimento. Ogni due settimane mi trovavo nell'ufficio del vicepresidente delle tecnologie a indicare un nuovo modo per ottenere SSN o documenti finanziari degli studenti fino al 1995 o qualche tecnica di stalker per determinare l'intero programma di una classe di qualcuno (incluso il voto in lettera in quella classe ). Anche il vicepresidente iniziò a diventare ostile con me. Ammetto di non aver avuto l'atteggiamento migliore dopo i 6 mesi. Ad un certo punto sono stato espulso per circa 3 settimane quando hanno sentito che stavo cercando di decodificare la loro codifica (linkato sopra). Volevo mostrare loro quali buchi erano vulnerabili quando un individuo non lavorava con loro ed erano all'oscuro. Alla fine abbiamo risolto il problema, ma nel frattempo da entrambe le parti c'era molta rabbia, scartoffie ed ego in giro.

Il punto che sto cercando di sottolineare è che il reparto IT ha lavorato con me nonostante fossi un idiota. Hanno risolto i problemi e la scuola sta meglio per questo. Finché ero sincero sulle mie intenzioni e aperto su ciò che stavo facendo, non mi minacciavano né mi ostacolavano. È stato solo quando stavo lavorando in segreto che hanno intrapreso un'azione disciplinare. Ero dappertutto con cose che potevano assolutamente essere considerate hacking, inclusi attacchi injection, social engineering, reverse engineering, packet sniffing, port scanning, exploit software personalizzati e altro ancora. Dal momento che non ho mai cambiato nulla e sempre (beh ... di solito) ho riferito le mie scoperte in silenzio e direttamente a loro, hanno lavorato con me. Non ho dubbi che se non fossi stato uno stronzo non sarei stato temporaneamente espulso.

Esiste un servizio fornito da Hewlett-Packard Tipping Point denominato Zero Day Initiative. http://www.zerodayinitiative.com/

Ecco come funziona.

1. ACQUISTANO la vulnerabilità da te
2. HP Tipping Point offre protezione alla sua base di clienti di utenti di firewall intelligenti
3. ZDI collabora con il fornitore per cercare di risolvere il problema (questo in genere può richiedere 6 mesi)
4. Se il fornitore non risponde o non si sposta, ZDI segnala pubblicamente la vulnerabilità.

Come puoi vedere, hai finito al passaggio 1 e tu prendi denaro e rimani anonimo.

A volte è molto difficile spiegare l'importanza della sicurezza alle persone. Alcune persone semplicemente non capiscono la sicurezza e altri pensano che il loro sistema non verrà mai compromesso. La segnalazione di una minaccia alla sicurezza a volte viene ignorata o richiede molto tempo per essere risolta. In base alla mia esperienza, per far capire il tuo punto di vista per migliorare la sicurezza, vorrei dimostrare l'attacco. Quando si demo di un attacco, suggerirei di utilizzare la propria casella in cui è possibile configurare un ambiente simile. In questo modo puoi mostrare alle persone visivamente come i dati possono essere rubati.

Questo è un problema abbastanza difficile, poiché aziende e università hanno una lunga e orgogliosa storia di reazioni ostili e di sparare al messaggero in casi come questo. E non c'è alcuna garanzia che non sarai perseguito per nient'altro che aver notato la loro insicurezza. Potrebbero non avere una causa contro di te, ma ciò non significa che non possano renderti infelice.

Quindi ecco alcune idee che potrebbero aiutare.

• Rimani anonimo : esistono molti modi per proteggere la tua identità. Non li parlerò qui, ma per la maggior parte non devi identificarti per rivelare una vulnerabilità. Se sei preoccupato per le ritorsioni, potrebbe essere meglio che non lo faccia.

• Non rivelare direttamente: anche se sarebbe l'ideale Affinché tu possa affrontare la questione in privato, così facendo ti offri poca o nessuna protezione se decidono di vendicarsi. Rivelare la vulnerabilità attraverso una terza parte fidata ti protegge in qualche modo dall'azione diretta impedendo loro di controllare la storia. Spesso la divulgazione indiretta è un modo per mantenere l'anonimato.

• Concentrati sulla loro negligenza piuttosto che sulla loro vulnerabilità : se assumi preventivamente un alto livello morale, attaccando li dipingeresti come più negligente, piuttosto che meno . È estremamente difficile (ed estremamente raro) per un servizio accusato principalmente di negligenza dipingere il proprio informatore come un criminale. Il semplice fatto di sottolineare la loro scarsa sicurezza non ti offre alcuna superiorità morale e dà loro l'opportunità di dipingere se stessi come vittime accusandoti di cattiva condotta criminale. Non darglielo.

A giudicare da quello che hai detto non ci sono prove che tu stia tentando di hackerare. Hai semplicemente monitorato le richieste in entrata e in uscita della tua rete.

Se sei ancora persistente sulla situazione, prova a contattare il Commissario per la privacy in Canada per vedere cosa consigliano. https://www.priv.gc.ca/

Questa sembra più una questione di psicologia / sociologia che di sicurezza, poiché il problema sembra essere il modo migliore per comunicare con un'altra parte e convincerla a intraprendere un'azione specifica. Non riesco a credere che qualsiasi accusa di "hacking" possa avere reali ramificazioni legali per i motivi spiegati da altre risposte.

Un approccio alternativo a quelli sopra è quello di praticare un reato forte. Se si rifiutano di accettare le tue email, inviane una semi-minacciosa in tono educato ma fermo spiegando che se non affrontano questa vulnerabilità di sicurezza per proteggere i tuoi dati personali, potresti dover intraprendere un'azione legale per proteggerti. Questo può essere pratico o meno, a seconda delle informazioni personali che effettivamente memorizzano delle tue.

Questo approccio crea naturalmente un'interazione conflittuale, quindi considera attentamente prima di intraprendere questa strada.