计算机安全研究是提高网络安全的关键驱动力,此次公告希望为善意的安全研究人员提供清晰指引,鼓励研究者出于公共利益去根除漏洞。
安全内参5月19日消息,据外媒Vice报道,美国司法部公布一项政策调整,将不再对违反美国联邦黑客法《计算机欺诈与滥用法》(CFAA)的善意安全研究提起诉讼。
这项举措意义重大。长期以来,出于漏洞发现和修复等目的,安全研究人员往往需要探测甚至入侵目标系统。《计算机欺诈与滥用法》无疑对这部分研究者构成了威胁。此次政策修订,意味着善意安全研究不应面临指控。
“计算机安全研究是提高网络安全的关键驱动力,”美国司法部副部长Lisa O. Monaco在公告的相关声明中表示,“司法部从不打算将善意的计算机安全研究视为应被起诉的罪行。此次公告希望为善意的安全研究人员提供清晰指引,鼓励研究者出于公共利益去根除漏洞。”
该政策的文本也提到,“司法部执行《计算机欺诈与滥用法》的目标是维护个人、网络所有者、运营商及其他方的合法权利,促进隐私和网络安全,保障信息系统内所承载信息的机密性、完整性和可用性。”
几十年来,专家们一直批评《计算机欺诈与滥用法》“管得太宽”。激进派组织电子前沿基金会此前曾表示,“安全研究对于保障所有计算机用户的安全非常重要。如果我们不知道漏洞的存在,就无法着手修复,更无法在未来制造出更好的计算机系统。《计算机欺诈与滥用法》应该保护白帽黑客,激励他们做好这份重要的工作。”
此次公告也提供了反面案例,即会被视为恶意而面临指控的“研究”行为。其中写道,“若发现设备中的漏洞并借此勒索所有者,即使声称属于‘研究’行为,仍将被视为非善意。”
公告还补充称,新政策将立即生效,所有根据《计算机欺诈与滥用法》起诉案件的联邦检察官必须遵循新政策要求。
本文转自安全内参,点击阅读原文可查看完整内容