阿肯色州州长将发现PUA数据泄露的程序员定为非法行为

哈钦森州长已将扩大阿肯色州的计算机科学教育作为其政府的首要任务。去年12月，他宣布成立一个计算机科学和网络安全特别工作组，以加强该州的网络安全教育。但据专家称，最近几天，州长本人与网络安全最佳实践脱节。

周五，我通知阿肯色州劳动力服务部(Arkansas Department Of Workforce Services)该州大流行失业援助网站存在漏洞，该网站暴露了大约3万名申请者的社保号码、银行账户和路由号码。在阿肯色州时报就这一问题向劳动力服务部发送电子邮件后不久，该州将该网站下线。我是在一名申请帮助的计算机程序员向纽约时报通报了这个漏洞后得知这个漏洞的。在联系了两个州机构但一无所获后，他才联系了纽约时报。

从周六的新闻发布会开始，一直持续到周一，哈钦森将敲响警钟的申请者诬陷为非法行为。他周一宣布，联邦调查局正在调查此事。他说，他了解到个人信息被“利用”。

Hutchinson说：“我们不相信这些数据是被操纵的。”“换句话说，有人会进入并更改银行账号，这就是犯罪分子会做的事情。当你说“被利用”时，我相信这是一个技术术语，包括视觉上看到别人的数据。这是我们关心的问题，也是违反规定的原因。“。

当被问及他将程序员的行为定为非法的理由时，州长说，“当你进入并操纵一个系统，以获得你不允许访问的访问权限时，这违反了我们希望在这些系统中实施的安全，我认为这也是违法的。”在被问及他将这名程序员的行为定为非法的理由时，这位州长说，“当你进入系统并操纵系统，以获得你无权访问的访问权限时，这违反了我们希望在这些系统中实施的安全措施，我认为这也是违法的。”

但是程序员没有操纵系统的安全性。他本人就是一名PUA申请者，他通过简单地更改网站的URL就可以进入管理门户，这表明缺乏或不存在基本的安全协议。通过该网站用于与数据库通信的API(应用程序编程接口)，他看到个人数据没有加密。

我更广泛地问哈钦森，他是否担心他在公民何时应该报告网络漏洞方面发出的信息。

“问题是，你是看到了漏洞，还是发现了漏洞？我认为我们会让调查在这些问题上不言而喻。“

克里斯托弗·赖特(Christopher Wright)是小石城Sullivan Wright Partners的信息安全专业人士。他在网络安全方面有十多年的经验，包括在美国空军和联邦政府工作。他说：“那种‘不要探测’的东西不能很好地从现实世界转换到网络世界。”他说，好奇心是他在培训下一代网络安全专家时寻找的品质之一。

“当你有这样一种想法的人，‘这是我使用的网站。我想帮忙，‘这就是你想要的那种人。你总会遇到一些邪恶或恶意的人，他们会试图自己去做这些事情。如果存在漏洞，我们不想把头埋在沙子里。“。

拥有15年私营部门网络安全经验的UA小石城计算机科学系助理教授菲利普·赫夫(Philip Huff)呼应了赖特的观点。

他说：“如果任何安全专业人员遇到漏洞，他们都有道德义务以负责任的方式报告，并以将损害降至最低的方式进行报告。”隐藏的漏洞越多，对手在执行恶意活动时就越有优势。

赖特说，越来越多的大公司接受了这样一种想法，即更好地主动识别漏洞。“虫子”赏金已经变得很普遍，数百家公司，甚至是联邦国防部都会向发现漏洞的人支付金钱奖励。总部位于本顿维尔的沃尔玛在某些情况下会支付漏洞赏金。

安德鲁·莫里斯(Andrew Morris)是一位有十多年经验的网络安全专家，也是华盛顿特区GreyNoise Intelligence的创始人。他说，州长把这名程序员诬陷为非法行为是处理这种情况的“最错误的方式”。

“他们在射杀信使，”他说。“这是很糟糕的，原因有很多。它创造了一种文化，在这种文化中，他们惩罚做了正确事情的人，并试图报告漏洞并修复它们。这个人什么都不用说。“。

莫里斯说，根据他对“阿肯色州时报”关于pua.arkansas.gov网站漏洞的报道的理解，“从数据安全和数据保护的角度，以及从风险和严重程度的角度来看，情况并不会真的变得更糟。”莫里斯说，如果阿肯色州向程序员支付错误赏金，他将有权获得最高金额。

莫里斯说：“互联网上的每个网站--互联网上的每一台服务器--几乎每天都会受到数百万次自动攻击。”“这里有一个韧性的问题。互联网上的机器需要对特定的基线攻击具有弹性。这起袭击远远低于这一基线，所以说责任或责任落在了实施这一行动的行为人身上，这是完全疯狂的。在某种程度上，网站必须有一定的安全底线，这告诉我他们远远低于这个底线。“。

本·胡德是土生土长的阿肯色州人，在华盛顿特区的EndGAME公司拥有网络安全经验，目前在华盛顿的另一家科技公司工作。对于哈钦森陷害程序员的行为是非法的，他说，“他需要把这种语言扼杀在萌芽状态。他需要确保自己说的话不会阻止人们在看到这样的问题时向当局报警。如果他起诉这个好心的撒玛利亚人，那将是最糟糕的结果。“