Киберклад следует сдавать государству. Продолжу накидывать аргументы за централизацию репортинга уязвимостей через государственного регулятора. Ранее я сравнивал знание об уязвимости с оружием. Теперь рассмотрим уязвимости как ценность.

💰 А ценность действительно есть. Недаром Microsoft выплатили за год $17 млн bounty (max за уязвимость $200.000). А на ирландском Pwn2Own обещают выплатить $1 млн за эксплойт для "зелёного мессенджера".

Если человек нашёл клад, сокрытый в земле (стене, пещере и т.п.), волен ли он им распоряжаться по своему усмотрению?

🔹 Нет. Клад нужно сдать в полицию для оценки. По ГК РФ 233 в зависимости от обстоятельств можно будет получить либо сам клад, либо 50% его стоимости (клад с культурно-исторической ценностью перейдёт государству).

🔹 За сокрытие клада грозит до 5–10 лет (192, 164 УК РФ ).

Так почему сейчас считается нормальным сдавать уязвимости ("киберклады") третьим лицам из недружественных стран без уведомления государства? 🤔

Кибероружие следует сдавать государству. Продолжу накидывать аргументы за централизацию репортинга уязвимостей через государственного регулятора. Давайте проведём аналогию между уязвимостями и оружием. Идея не нова, термин "cyberweapon" употребляется десятки лет.

Если человек идёт по дороге и видит, допустим, пистолет, что он вправе с ним легально сделать? Может ли он его использовать по своему усмотрению? Может ли он его продать? Может ли он его вывезти за пределы страны?

Ну ведь, нет же, правда? 🙂 Единственное, что он вправе сделать - это сообщить о нём в полицию или отнести его в полицию самостоятельно. Т.е. передать государственной службе, которая примет решение, что да, это действительно оружие, и распорядится им правильным образом.

Тогда почему сейчас считается нормальным передавать уязвимости ("кибероружие") разработчикам ПО из недружественных стран? Вместо использования этой важной информации во благо нашей страны? Как по мне, это следует изменить.