Etický hacking: základy zodpovědného oznamování bezpečnostních zranitelností

Co je etický hacking a proč na něm záleží

Etický hacking je systematické a povolené testování bezpečnosti systémů za účelem identifikace zranitelností a jejich zodpovědného nahlášení. Na rozdíl od škodlivého hackingu má jasný mandát, definovaný rozsah a pravidla chování. Cílem je snížení rizika a zlepšení odolnosti – ne senzace, ne reputační tlak. Klíčovým prvkem je zodpovědné oznamování zranitelností (CVD – Coordinated Vulnerability Disclosure), které nastavuje férová očekávání mezi výzkumníkem, provozovatelem a případně koordinátorem (např. CSIRT/CERT).

Etické a právní pilíře: co odlišuje výzkum od útoku

Autorizace a souhlas: Testování probíhá na základě výslovného souhlasu nebo VDP (Vulnerability Disclosure Policy) s doložkou safe harbor.
Nejmenší dopad: „Neškodit“ – minimalizovat riziko výpadku, ohrožení integrity dat a soukromí uživatelů.
Proporcionalita: Prokazovat existenci zranitelnosti s nejnižší potřebnou intenzitou (žádné zbytečné eskalace ani exfiltrace).
Transparentnost a průkaznost: Přesná dokumentace kroků, času, prostředí a artefaktů.
Zachování důvěrnosti: Podrobnosti o zranitelnosti se nezveřejňují před opravou nebo před uplynutím dohodnuté lhůty.

VDP, bug bounty a CVD: v čem se liší

VDP (Vulnerability Disclosure Policy): veřejná politika organizace, která určuje, jak přijímá hlášení. Nepodmiňuje odměnu, ale obsahuje kontakty, rozsah a „safe harbor“.
Bug bounty program: motivuje finanční odměnou, stanovuje kvalifikační kritéria a často běží na platformě. Nezakládá nárok na odměnu; pravidla jsou závazná.
CVD (Coordinated Vulnerability Disclosure): koordinovaný proces mezi výzkumníkem, organizací a případně koordinátorem (CSIRT), včetně časového harmonogramu a způsobu zveřejnění.

Rozsah a pravidla hry: před testem, během něj a po něm

Před testem: identifikujte cíl, ověřte VDP/ToS, vyžádejte si písemný souhlas, dohodněte časová okna (maintenance windows), zakažte techniky s vysokým dopadem (DoS, volumetrické útoky, sociální inženýrství, fyzické vniknutí), pokud nejsou výslovně povoleny.
Během testu: zaznamenávejte čas, IP adresy, nástroje a vysoce rizikové akce; nepoužívejte skutečné osobní údaje; nepokoušejte se o perzistenci ani laterální pohyb mimo dohodnutý rozsah.
Po testu: zajistěte důvěrné předání zjištění, zničte dočasná data, poskytněte reprodukovatelné kroky a návrhy nápravy.

Minimalistický důkaz konceptu: jak ukázat problém bez škod

PoC má být dostatečný k reprodukci, ale neškodný. Místo exfiltrace skutečných databází použijte:

čtení neškodného systémového artefaktu (např. verze aplikace),
vytvoření izolovaného testovacího záznamu s náhodným identifikátorem,
akce „echo“ nebo „time“ místo spouštění škodlivé logiky.

U chyby typu IDOR například prokažte přístup k vlastnímu testovacímu záznamu s upraveným identifikátorem – bez stahování cizích dat.

Citlivá data a soukromí: červené linie

Neshromažďovat osobní údaje (PII), zdravotní a finanční údaje ani autentizační tajemství; pokud se náhodou objeví, okamžitě přestat a nešířit je.
Žádné zákaznické účty k testování – použijte vlastní testovací identity nebo anonymizovaná sandboxová prostředí.
Šifrované úložiště a krátké retenční lhůty pro dočasné artefakty; upřednostňujte důkazy ve formě hashů (snímky obrazovky bez citlivých polí).

Hodnocení závažnosti: společný jazyk pro stanovení priorit

Pro stanovení priority nápravy se používá standardizované skórování (např. CVSS) a klasifikace dopadu:

Dopad: důvěrnost (C), integrita (I), dostupnost (A), případně dopad na soukromí, finanční či regulační dopad.
Využitelnost: lokální vs. vzdálená, bez interakce vs. vyžadující interakci, nutnost autentizace.
Rozsah: ovlivňuje pouze část systému, nebo umožňuje průnik do jiných domén.

Výstupem má být srozumitelné zdůvodnění, proč je riziko vysoké/střední/nízké a jaké je doporučené „časové okno pro opravu“.

Koordinace a časové harmonogramy: jak nastavit očekávání

Potvrzení přijetí: do 3–7 dnů od nahlášení.
Předběžné posouzení: do 14 dnů – posouzení, zda je problém reprodukovatelný a spadá do rozsahu.
Oprava a ověření: obvykle do 30–90 dnů podle dopadu; při aktivním zneužívání rychlejší postup a dočasná zmírňující opatření.
Koordinované zveřejnění: po nasazení opravy, s uvedením zásluh výzkumníka a technickým upozorněním, případně s přidělenými identifikátory (CVE).

Komunikační protokol: od prvního e-mailu po upozornění

Kontaktujte security@domena, adresu uvedenou ve VDP nebo použijte formulář. Zpráva má být stručná, věcná a nemá obsahovat podrobnosti o exploitu zasílané nezabezpečenými kanály. Vhodná struktura:

Předmět: „Zodpovědné nahlášení zranitelnosti – [název systému] – [stručný popis]“
Úvod: kdo jste, odkaz na VDP a potvrzení, že respektujete pravidla.
Stručný popis: kategorie chyby, odhad dopadu, podmínky (autentizace, interakce).
Postup reprodukce (stručně): prostředí, endpoint/funkce, minimální PoC (bez citlivých údajů).
Navrhovaná zmírňující opatření: doporučení ke konfiguraci, validaci vstupů a přístupovým politikám.
Kontakty a PGP: preferovaný šifrovaný kanál pro podrobnosti.

Role koordinátorů (CSIRT/CERT) a jak pomáhají

Pokud dodavatel nereaguje nebo jde o problém týkající se více stran, do procesu vstupuje koordinační tým. Pomůže s tříděním, ověřením, koordinací termínů a případně i s publikací bezpečnostního upozornění. Cílem je zachovat rovnováhu mezi zájmem veřejnosti a bezpečným časovým oknem pro opravu.

Bezpečnostní doporučení pro organizace s VDP

Jasná VDP na vlastní doméně: rozsah, zakázané techniky, kontakty, PGP klíč, SLA pro reakce.
Klauzule safe harbor: závazek nepostihovat jednání v dobré víře, pokud byla dodržena VDP a výzkumník nezpůsobil škodu.
Interní proces třídění: kdo přijímá hlášení, jak se přidělují, jak se ověřují a jak se na ně odpovídá.
Oceňování: veřejná „síň slávy“, případně odměny; transparentní kvalifikační kritéria.
Redakce a zaznamenávání: anonymizujte všechny interní artefakty; chraňte důvěrnost hlášení a metadat.

Co do hlášení patří a co ne

Patří: přesný popis problému, dopad, minimální kroky k reprodukci, prostředí (verze, konfigurace), důkazy bez osobních údajů (PII), návrhy zmírňujících opatření.
Nepatří: skenování celé infrastruktury bez souhlasu, výpisy databází, sdílení hesel/tokenů, neověřené hypotézy, marketing ani podmiňování zveřejněním.

Právní a reputační rizika: jak se jim vyhnout

Žádné vydírání („zaplaťte, nebo zveřejním“). Zveřejnění se koordinuje, nikoli obchoduje.
Dodržování zákonů o neoprávněném přístupu a ochraně dat; testujte pouze to, co povoluje VDP/souhlas.
Důkaz dobré víry: úplná dokumentace, šetrný PoC, včasné oznámení, spolupráce při ověřování opravy.

Typické třídy zranitelností (bez návodu k jejich zneužití)

Řízení přístupu (IDOR, chybějící ABAC/RBAC): přístup k cizím zdrojům bez autorizace.
Validace vstupů (injekce, nebezpečná deserializace): nekontrolované provádění kódu nebo únik dat.
Konfigurace (tajné údaje v repozitáři, slabé CORS, veřejně přístupné buckety): uniklé klíče, veřejně dostupná data.
Autentizace (slabé mechanismy resetování hesla, chybějící limity počtu požadavků): převzetí účtů.
Dodavatelský řetězec (zranitelné knihovny, vystavení CI/CD): přenesená rizika.

Proces zveřejnění: technické upozornění bez citlivých údajů

Obsah: popis problému, dotčené verze, vektor, dopad, zmírňující opatření, chronologie, uvedení zásluh, referenční identifikátory.
Bezpečnostní bulletin: stručná verze pro správce (co aktualizovat a jaké konfigurační kroky provést).
Embargo: sdílení s partnery (např. výrobci AV/WAF) v omezeném režimu, aby mohli připravit signatury.

Správa důkazů a řetězec úschovy

Časová razítka, kontrolní součty, podpisy – prokazatelnost bez úniku obsahu.
Oddělená úložiště pro citlivé a necitlivé artefakty; přístup na základě rolí a principu „need-to-know“.
Likvidace dočasných dat po uzavření případu; auditní záznamy přístupů k hlášení.

Když dodavatel nereaguje: eskalace bez senzace

Zdvořilé připomenutí a připomenutí lhůty stanovené ve VDP.
Koordinátor (národní CSIRT/CERT) – nezávislé posouzení a zprostředkování.
Informování uživatelů po přiměřené lhůtě spolu s praktickými zmírňujícími opatřeními (konfigurace, firewall, vypnutí funkce), stále bez podrobností o exploitu, pokud oprava není k dispozici.

Kontrolní seznam pro výzkumníka

Ověřil jsem VDP a mám souhlas/mandát k testování v definovaném rozsahu.
PoC je minimální a nevyžaduje zbytečný přístup k údajům uživatelů.
Dokumentuji kroky, časy, IP adresy a prostředí; ukládám pouze nezbytná metadata.
Hlášení má strukturu, při přenosu je šifrované a neobsahuje osobní údaje (PII).
Respektuji dohodnutý časový harmonogram a komunikuji profesionálně.

Kontrolní seznam pro organizaci

Zveřejněná VDP s kontakty, PGP a safe harbor.
Definované třídění, SLA pro reakce a odpovědnosti (produkt, bezpečnost, právní oddělení).
Zabezpečený kanál pro přílohy a PoC (šifrovaná schránka, portál pro nahrávání).
Proces správy oprav a komunikace bezpečnostních upozornění zákazníkům.
Transparentní oceňování výzkumníků (uvedení zásluh, síň slávy, případně bounty).

KPI a metriky kvality zodpovědného oznamování

MTTA/MTTR: čas do potvrzení přijetí a čas do opravy.
Podíl reprodukovatelných hlášení oproti šumu; počet odmítnutých hlášení z důvodu, že jsou „mimo rozsah“.
Komunikační disciplína: dodržování SLA, počet eskalací ke koordinátorovi.
Bezpečnostní dopad: počet incidentů po nasazení bezpečnostního upozornění oproti době před ním.

90denní plán zavedení programu zodpovědného oznamování

Dny 1–30: vytvořit a zveřejnit VDP (rozsah, safe harbor, kontakty, PGP); nastavit interní třídění a šablony odpovědí.
Dny 31–60: zřídit zabezpečený kanál pro hlášení, definovat skórování a priority, připravit veřejný formát bezpečnostního upozornění.
Dny 61–90: pilotní testování, cvičná simulace přijetí hlášení a opravy, spuštění „síně slávy“ a vyhodnocení metrik MTTA/MTTR.

Zodpovědné oznamování jako společenská dohoda

Etický hacking funguje pouze tehdy, když výzkumníci, organizace a koordinátoři dodržují společná pravidla – jasný mandát, minimální dopad, důvěrnost a koordinované zveřejnění. Správně nastavený proces CVD buduje důvěru, zkracuje dobu do opravy a zvyšuje bezpečnost celého ekosystému bez potřeby „hrdinských“ kroků nebo tlaku veřejnosti.