Se c'è un insegnante o un consulente di cui ti puoi fidare completamente , che sai che manterrà il tuo nome segreto anche se l'amministrazione scolastica inizia a minacciare di licenziare le persone, andrei prima da loro e parlare con loro in privato. Non hanno bisogno di capire i computer o la sicurezza (e non è necessario entrare nei dettagli della questione), devono solo essere affidabili e bravi a orientare la politica amministrativa nella scuola: hai bisogno di consigli sulle personalità delle persone coinvolte e su quanto sarebbe pericoloso per te segnalare il problema. Se sono del tutto diffidenti nei confronti delle segnalazioni, dovresti tacere.

Se qualcuno con abbastanza potere si imbarazza, potrebbe iniziare a cercare qualcuno da licenziare o espellere (o, nel peggiore dei casi, per hanno arrestato), per dare l'illusione di avere il controllo della situazione. Se sei amichevole e fidato dell'amministrazione e del dipartimento IT e sai che hanno supportato gli studenti in passato anche quando li faceva sembrare cattivi, potrebbe essere meno rischioso condividere il problema, ma lo consiglierei comunque passando attraverso un intermediario fidato.

Se non puoi parlare con qualcuno di cui ti fidi per mantenere il tuo nome anonimo e non puoi segnalare il problema in modo anonimo (e sembra che non puoi), è probabilmente è meglio per te tacere. E questo significa completamente silenzioso: non parlare di ciò che hai trovato nei forum, non dire ai tuoi amici cosa hai trovato e non riprovare tra qualche settimana "per vedere se è stato risolto:" non Non voglio apparire in alcun registro come avente qualcosa a che fare con questo, soprattutto se viene sfruttato da qualcun altro. Fa schifo, ma inizia proteggendoti.

Un altro pensiero mi ha colpito quando ho riletto la tua domanda (enfasi mia):

Come dovrei dire alla scuola che sono vulnerabili quando non mi è stato dato il permesso di controllare ?

Potresti ottenere l'autorizzazione? Una volta ottenuto il permesso, potresti "scoprire" il problema (senza dire a nessuno di averlo trovato prima) e segnalarlo senza preoccuparti di essere incolpato per hacking senza autorizzazione.

Sarebbe più facile se tu " Stai già frequentando un corso di informatica tenuto da un insegnante amichevole che lavorerebbe con l'IT per darti un credito extra per fare un Pen Test. Oppure, se sei amichevole con qualcuno nell'IT, potresti avvicinarti direttamente a loro e suggerire che sei interessato a studiare la sicurezza della rete e sperare di trovarti un lavoro un giorno, e potresti fare esperienza conducendo un Pen Test della rete locale . Se hai già la reputazione di essere bravo con i computer e la sicurezza e di essere affidabile, potresti avere buone possibilità di far funzionare questo approccio.

Ciò richiederà molto più lavoro della semplice segnalazione del problema , se hai intenzione di farlo bene. Dovrai testare molte più cose in modo da poter riciclare efficacemente la tua conoscenza del buco di sicurezza esistente (ovviamente potresti essere fortunato e trovare qualche problema in più!), E dovrai scrivere un rapporto che descriva in dettaglio tutto ciò che fatto, e perché, e cosa hai trovato. Potrebbero anche limitare l'ambito di ciò che puoi testare o darti un sistema di test che non esponga il problema che hai già trovato, il che significa che sarai bloccato a fare il lavoro e scrivere il rapporto senza essere in grado di rivelarlo il numero originale.

Ovviamente questo è un modo abbastanza "subdolo" per segnalare il problema. Se vieni rifiutato dovresti probabilmente tacere sul problema originale, perché se lo segnali o qualcun altro lo fa e viene ricondotto a te, le persone ricorderanno quando hai chiesto di condurre un Pen Test e inizieranno a fare domande su di te e quanto potresti essere affidabile. Quindi c'è qualche rischio in questo approccio.

Come dovresti dirglielo? Non dovresti.

Diamo un'occhiata alle potenziali conseguenze qui. Dal momento che stavi frugando nella loro rete senza permesso (qualcosa che è quasi certamente in violazione del tuo contratto studentesco e del consenso su cui hai cliccato per accedere al loro sistema IT), il risultato migliore che puoi aspettarti è che lo faranno risolvi il problema e riceverai una piccola pacca sulla spalla.

D'altra parte, c'è almeno un ragionevole cambiamento che prenderanno la parte sbagliata del bastone, espellerti dalla scuola e può anche chiamare la polizia. Dal momento che ci sono stati altri casi di pirateria informatica, potrebbero saltare al presupposto che tu fossi in qualche modo coinvolto anche in quelli, aumentando le possibilità di conseguenze legali.

Per lo meno, e nonostante il tuo bene intenzioni che hai quasi certamente infranto la legge. Sebbene la scuola possa scegliere di ignorare questo aspetto, potrebbe anche non farlo.

Quando si soppesano i lati positivi e negativi, la scelta dovrebbe essere ovvia.

"Signora, vorrei solo farle sapere che se inserisce una striscia di metallo nel catenaccio della porta del garage, può aprirla con poco sforzo."

Basta non rivelare. Molti di noi addetti alla sicurezza hanno trovato vulnerabilità nei sistemi informatici delle nostre università, ma non c'è nulla da guadagnare rivelandole. Lascia che qualcun altro lo trovi e lo divulga, ma non essere quello a rischio di accuse di rompere un sistema che non è il tuo. Ci sono molte storie nelle scuole in cui sono andato in cui il messaggero è stato punito per aver tentato di violare il sistema. Scommetto che è molto più probabile che tu venga punito rivelando la vulnerabilità invece di approfittarne tu stesso maliziosamente.

Se hai ragioni personali per cui il sistema non viene violato, contatta l'amministratore di sistema per chiedere la sicurezza del sistema in modo che i tuoi dati non vengano rubati personalmente. Poni domande specifiche sul difetto che hai scoperto nella speranza che l'amministratore trovi lo stesso difetto, ma non suggerire di aver tentato in precedenza di accedere al sistema.

Utilizza il metodo socratico.

Esponi la vulnerabilità a chiunque sia responsabile della sicurezza con una serie di domande. Se, per motivi di sicurezza (o altro), non possono o non vogliono rispondere alle tue domande, proponi situazioni ipotetiche e chiedi informazioni.

Puoi rivelare la vulnerabilità in modo ammissibile?

Hai riscontrato un problema in un modo che apparentemente non è consentito. Puoi presentare il problema in un modo in cui hai il permesso? In tal caso, provare potrebbe essere una buona idea. Potrebbe non essere nemmeno la vulnerabilità originale, ma un bug che, quando viene analizzato o corretto, rivela la vulnerabilità.

Ad esempio, forse la vulnerabilità è che le password non sono sottoposte ad hashing. L'hai scoperto entrando nei server della scuola. Invece di dire loro che sei entrato nei server della scuola, scarica un'estensione del browser che controlla se le password vengono trasmesse come testo normale (che può essere visto come un modo per proteggere la tua sicurezza in un modo ragionevole e non ficcanaso) e la scuola che il loro sito sta causando bandiere rosse sul tuo laptop e che sei preoccupato per la tua sicurezza. Il bello è che è molto più sicuro e giustificabile dire alle persone fuori dalla scuola se risolvono il problema in un lasso di tempo ragionevole.

Un vantaggio di questa tecnica è che molto probabilmente non devi mentire.

Probabilmente è meglio assicurarsi che non si rendano conto del modo originale in cui hai scoperto la vulnerabilità, anche se lo risolvono, per timore che liberino i poteri del governo contro di te. (Il tuo spionaggio è registrato in qualche registro, ad esempio?)

Dillo loro in modo anonimo, citando tutto ciò che hai fatto, ad esempio i test di penetrazione, i risultati, ecc. in modo che possano verificarlo da soli (o assumere qualcuno). Assicurati che il messaggio venga inviato a tutti coloro che hanno l'autorità per approfondire il problema.

Come suggerito da drewbenn nella seconda risposta, ma per dirla in un modo leggermente diverso, dove drewbenn ha detto che puoi chiedere il permesso, sto dicendo che puoi anche "suggerire un controllo di sicurezza o esortarli a farlo, con o senza il tuo aiuto "con un motivo come" Faccio X o mi impegno in comunità X online, e ci sono state segnalazioni o chiacchiere su scuole che sono state violate nel nostro stato / città e qualcuno se ne vantava ". Quindi pensi che "dovremmo controllare se la nostra scuola è stata presa di mira da questo in qualsiasi momento di recente".

Non avresti dovuto essere lì, quindi non importa cosa hai trovato, al momento hai torto. Fino a quando non ottieni il permesso di guardare, devi stare zitto e sperare che non abbiano rilevato la tua presenza.