Avsnittet: 183 – Etiken på internet 3/3 (pliktetik)
Inspelat: 2022-10-22 (publicerat 2022-10-22)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – pliktetik

Medan du lyssnar

Så når vår urspårade spårvagn till sist fram till sitt mål. Vi har pratat om dygdeetikern och konsekvensetikerns syn på IT-säkerhet, medan vi skapat en väg fram till den tredje filosofin som påverkar oss. Vad säger då pliktetikern? Han eller hon som anser att lagar och regler ska följas utan tanke på vad som är rätt och fel, medan andra troligen inte håller med.

Exempel på pliktetikerns syn på IT-säkerhet som svar på utförda handlingar

• Jag tänker att vi tar några scenarion om hur en dygdetiker kan agera på . Ok?
  • ”Jag hackar mig in på en site och meddelar siteägaren att felet finns”
    • Tveksamt. Det är förbjudet att göra intrång utan tillstånd. Kan accepteras om siteägaren accepterar att inte stämma den som gjort det. Annars inte.
  • ”Jag piratkopierar spel eftersom jag inte har råd att köpa dem. Sen skickar jag det till mina kompisar som jag tror inte annars skulle köpa dem”.
    • Olagligt. Inga undantag. Pliktetikern sätter ner foten!
  • ”Jag hittade en svaghet I systemet som jag testade utan att ha tillstånd. Meddelade givetvis siteägaren, men jag kräver att de slutar med en del verksamhet jag inte gillar att de gör. Annars får de inte veta.”
    • Olagligt. Inga undantag.
  • ”Jag är del av ett kollektiv som använder DDOS-attacker för att ta ner intoleranta siter, maffians kommunikationer eller helt enkelt saker som kollektivet finner omänskligt”.
    • Olagligt. Inga undantag.

Säger färgen på din hatt något om pliktetikerns moraliska kompass?

• Svart hatt – möt vit hatt.
  • Jag hackar allt för pengar och ger den som betalar, det de vill ha”
    • Olagligt. Inga undantag.
  • ”Jag hackar allt för pengar, men om någon har en ond site som jag kan ta ner, så gör jag det gratis”
    • Olagligt. Inga undantag.
  • ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då utnyttjade jag felet och bytte ut deras förstasida mot en som förklarade att de är ett gäng idioter”
    • Olagligt. Inga undantag.
  • ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då meddelade jag dem och resten av Internet hur man använder sårbarheten.”
    • Helt okej. Vi måste följa reglerna.
  • ”Det invaderande landet har skadat det land de invaderade svårt. Jag vill hjälpa till att bekämpa invarderarna, så vi tar ner deras siter, läcker deras information och hindrar dem på alla sätt vi kan här hemma I den bekväma soffan”.
    • Mot lagen. Fast vilken lag? Det beror på om var du själv bor.

Länkar – pliktetik

• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #183 – Etiken på internet 3/3 (pliktetik) dök först upp på IT-säkerhetspodden.

Avsnittet: 180 – Etiken på internet 2/3 (Konsekvensetik)
Inspelat: 2022-09-23 (publicerat 2022-09-25)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Konsekvensetik

Medan du lyssnar

Jag tror ingen är 100% konsekvens-, dygde- eller pliktetiker. Var och en av dessa etiska mallar är för oflexibla för att kunna fungera. För att förenkla, en konsekvensetiker ser goda effekter som eftersträvansvärda. Dygdeetiken pratade vi om för några veckor sedan och den handlar om det som är rätt att göra. Ofta det andra gör och det man ”förväntas göra”.

Exempel på konsekvensetikerns syn på IT-säkerhet som svar på utförda handlingar

• ”Jag hackar mig in på en site och meddelar siteägaren att felet finns”
  • Det fungerar, eftersom det gynnar alla som använder siten och det gör det bättre för majoriteten (användare) på bekostnad av minoriteten (hackare, brottslingar och black hats)

• ”Jag piratkopierar spel eftersom jag inte har råd att köpa dem. Sen skickar jag det till mina kompisar som jag tror inte annars skulle köpa dem”.
  • Nej. Det missgynnar spelindustrin. Piratkopieringen skadar marknaden och därmed tillgång till spel för stora massor.

• ”Jag hittade en svaghet I systemet som jag testade utan att ha tillstånd. Meddelade givetvis siteägaren, men jag kräver att de slutar med en del verksamhet jag inte gillar att de gör. Annars får de inte veta.”
  • Beror på om det de sysslar med är skadligt för allmänheten eller inte. Troligen inte ok.

• ”Jag är del av ett kollektiv som använder DDOS-attacker för att ta ner intoleranta siter, maffians kommunikationer eller helt enkelt saker som kollektivet finner omänskligt”.
  • Beror på om det de sysslar med är skadligt för allmänheten eller inte. Troligen inte ok.

Vad får färgen på din hatt för konsekvenser?

• ”Jag hackar allt för pengar och ger den som betalar, det de vill ha”
  • Nej, du ställer till mer skada än nytta.

• ”Jag hackar allt för pengar, men om någon har en ond site som jag kan ta ner, så gör jag det gratis”
  • Nej, du ställer till mer skada än nytta.

• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då utnyttjade jag felet och bytte ut deras förstasida mot en som förklarade att de är ett gäng idioter”
  • Om det leder till att de rättar sårbarheten, är det väl ok.

• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då meddelade jag dem och resten av Internet hur man använder sårbarheten.”
  • Om det leder till att de rättar sårbarheten, är det väl ok. Detta kallas också för ”Full disclosure”.

• ”Det invaderande landet har skadat det land de invaderade svårt. Jag vill hjälpa till att bekämpa invaderarna, så vi tar ner deras siter, läcker deras information och hindrar dem på alla sätt vi kan här hemma I den bekväma soffan”.
  • Ja självklart!! (fast med en liten invändning. Jag tror att en konsekvensetiker lätt kan fångas av opinionen, typ nyheter mm, av vad som är goda konsekvenser. Stora komplexa etiska frågor som t.ex. geopolitik kanske inte vem som helst kan avgöra hur konsekvenserna blir)

Länkar – Konsekvensetik

• Nordlo
• När hacktivism går fel (eller är det överhuvudtaget hacktivism? Lyssna på avsnittet!)
• Mer om begreppet

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #180 – Etiken på internet 2/3 (Konsekvensetik) dök först upp på IT-säkerhetspodden.

Avsnittet: 177 – Etiken på internet 1/3
Inspelat: 2022-09-03 (publicerat 2022-09-04)
Deltagare: Mattias Jadesköld och Erik Zalitis
Detta avsnitt är ett samarbete med Nordlo.

Lyssna på avsnittet – Dygdeetik

Medan du lyssnar

Nu ska vi filosofera om IT-säkerhet, etik och moral. För det kan man göra om allt och Internet är en del av allt. I en serie i tre delar kommer prata om dygdeetik, konsekvensetik och pliktetik som den fungerar på Internet. Men idag är det enbart dygdeetiken som är på agendan.

I grund och botten handlar den om (enligt Wikipedia) ”Vad som är en dygdig handling bedöms efter vad en (annan) dygdig människa hade gjort i samma situation.”. Resten av paragrafen är förvirrande, så läs inte Wikipediaartikeln. Alltså en dygdeetiker på Internet bygger sin moral på att observera hur folk omkring honom eller henne gör och göra likadant. Givetvis har dygd som begrepp en djup rotning i religion. Men Internet är för splittrat och icke-hegemoniskt för att det ska finnas en universell etisk grund för det, som alla måste följa. Lagar finns, men det tillhör plikteetiken, och den kommer vi till i ett senare avsnitt.

På Internet, skulle man kunna kalla det för ”dygdeetiskt” att bete sig väl och respektera andra. Det är en utmärkt tanke, men man måste inse att det finns ett antal allvarliga problem med det.

Dygdeetiken kräver att du måste ha samma värderingar som folk omkring dig. Du kan alltså inte agera rätt eftersom du är rädd för att bli illa behandlad annars. ”En syndfull tanke är ett syndfyllt agerande”. Och det är faktiskt därför jag är väldigt klar med att det är svårt vara 100% dygdeetiker på Internet.

Det uppenbara dilemmat

Nej, det är få som konstant ljuger på Internet eller på andra ställen. Vi har en fungerande etik och moral för det mesta. Men dygdeetikern måste vara 100% ärlig och en sådan person får inga vänner. Så givetvis måste det finnas rum för att säga ”Ja, den där koden ser … ehh… väldigt välskriven ut” och då flyger dygden ur rummet.

Men ändå.. Jag måste ändå stolpa upp några fördelar med att applicera den filosofin på hur man agerar på Internet:

• Du passar in bland andra och lär dig att förstå varför det finns oskrivna regler även utanför det som är krav.
• Du skadar ingen.
• ”Du väljer dina strider”. Jag nämner RFC1855 och dess ”Be conservative in what you send and liberal in what you receive.”. Det är inte politiskt menat, utan acceptera andra och bete dig acceptabelt.
• Det skapar en grupptillhörighet och känslan av att tillhöra en tradition.

Men ändå finns problem, som gör att man kanske inte ska kasta sig över den med hull och hår:

• Konsekvensetiken bryr sig om vad dina handlingar får för konsekvenser. Det gör ju inte dygdeetiken.
• Du tar ifrån dig själv möjligheten att säga ifrån och att faktikt… vara ärlig.
• Du underställer dig Habitus, alltså vad din grupp på Internet anser vara acceptabelt eller inte, utan att ha möjligheten att vänligt ifrågasätta. Eller ifrågasätta överhuvudtaget.
• Dygdeetiken kräver lydnad. Detta även om den inte behöver vara dogmatisk.
• Grupper på nätet har sin egen idé om som är rätt och fel och det kommer oundvikligen krocka med varandra. Men det vet vi just alla. Kolla på typiska kommentarsfält.

Så ska man vara dygdeetiker?

Jag tror mitt och Mattias eget konsensus säger ”Ja, men inte helt och hållet”. Man måste tänka på andra etiska principer, lagar och förordningar. Och ja, vad som händer om man agerar? Du måste skapa din egen moral utifrån den etik som du kan förstå.

Exempel på dygdeetikerns syn på IT-säkerhet som svar på utförda handlingar

• ”Jag hackar mig in på en site och meddelar siteägaren att felet finns”
  • Det är bra, för att då gör du din del för ett bättre Internet.
• ”Jag piratkopierar spel eftersom jag inte har råd att köpa dem. Sen skickar jag det till mina kompisar som jag tror inte annars skulle köpa dem”.
  • Tveksamt fall. Vi förstår argumentet, men både du och dina kompisar borde kanske skaffa medel att betala för spelen eller välja bort dem. Men det beror på vilken grupp du tillhör.
• ”Jag hittade en svaghet I systemet som jag testade utan att ha tillstånd. Meddelade givetvis siteägaren, men jag kräver att de slutar med en del verksamhet jag inte gillar att de gör. Annars får de inte veta.”
  • Allmänna åsikten säger nej. De flesta skulle inte agera på detta sätt.
• ”Jag är del av ett kollektiv som använder DDOS-attacker för att ta ner intoleranta siter, maffians kommunikationer eller helt enkelt saker som kollektivet finner omänskligt”.
  • Wow! Det är troligen acceptabelt för dygdeetikern på gatan så länge det är allmänt hållet att de som råkar ut är onda enligt någon form av accepterad norm. Men så fort man börjar ge sig på mål, som en majoritet inte har stora problem med, då är det inte längre acceptabelt. Konsekvensetikern och pliktetikern har massor att säga mot detta, men de får inte vara med idag.

Vad är färgen på din hatt?

• ”Jag hackar allt för pengar och ger den som betalar, det de vill ha”
  • Nej. Bara nej. Knappast vettig etik.
• ”Jag hackar allt för pengar, men om någon har en ond site som jag kan ta ner, så gör jag det gratis”
  • Gillar kanske eventuellt en del av det där. Men spontant agerar du utan fungerande moral. Din syften är inte goda.
• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då utnyttjade jag felet och bytte ut deras förstasida mot en som förklarade att de är ett gäng idioter”
  • Du hade de bästa av intentioner, tyckte du. Allt beror på vem du frågar, men vi IT-säkerhetsbranschen håller nog med varandra om att du gick för långt.
• ”Jag meddelade siteägaren om ett säkerhetshål de hade, men de struntade I det och då meddelade jag dem och resten av Internet hur man använder sårbarheten.
  • ”Full disclosure”. Acceptabelt, men kontroversiellt. Håller ihop som etik.
• ”Det invaderande landet har skadat det land de invaderade svårt. Jag vill hjälpa till att bekämpa invaderarna, så vi tar ner deras siter, läcker deras information och hindrar dem på alla sätt vi kan här hemma I den bekväma soffan”.
  • Internet bekämpar orättvisor! Men även då vi inte talar konsekvenser av handlande, finns det många som anser att det inte är ett acceptabelt handlande. Denna är svår!

Länkar – Dygdeetik

• Nordlo
• En artikel om Netizenship som jag skrev för ett tag sedan.
• Artikeln Mattias pratar om gällande hur ärliga vi är på sociala medier.

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #177 – Etiken på internet 1/3 dök först upp på IT-säkerhetspodden.

Avsnittet: 131 – Grey hat hackers
Inspelat: 2021-08-18 (publicerat 2021-08-29)
Deltagare:  Mattias Jadesköld, Erik Zalitis

Lyssna på avsnittet

Medan du lyssnar

Vi börjar med att snacka hattfärger och skämta om den onde, den gode och den fule.

Scenario ett: jag hittar en sårbarhet i en webbsida och uppmärksammar ägaren om problemet

Klassiskt white hat. Inget tvivel om saken. Absolut ingen grey hat eller black hat.

Scenario två: jag hittar en sårbarhet i en webbsida, men publicerar sårbarheten direkt till omvärlden.

White hat, trots vad man kan tro.

Här har jag valt att tolka det som en sårbarhet i en produkt som webbsidan använder som till exempel WordPress. Man kan givetvis diskutera lämpligheten av att publicera information om en sårbarhet som finns på en specifik sida direkt till alla utan att ge ägaren chansen att rätta felet.

Att inte vänta med att sprida informationen kallas för full disclosure.

Scenario tre: jag hittar en sårbarhet och meddelar ägaren, men kräver pengar för att fixa den eller meddela den

Här svävar jag mellan grey hat och black hat men landar tillsist i black hat. Det är underförstått i sådana här scenarion att om ägaren inte betalar, kommer sårbarheten säljas eller publiceras.

Scenario fyra: Khalil hittade sårbarhet på Facebook, men de accepterade inte att det var en sådan. Han svarade med att utnyttja den och klottra på Mark Zuckerbergs vägg

Inget problem här: grey hat. Det är visserligen menat för att visa att det är på riktigt, men hade gick för långt. Han borde ha publicerat den enligt ”Full disclosure”.

Scenario fem: Goatse security läcker ut personuppgifter på folk hos kunder AT&T utan att sälja dem eller hot

Hattfärgen är svart, då den skadar oskyldiga. Hade de läckt ofarlig information (om det nu finns någon sådan!), hade det varit gråare skalor.

Sen har vi mr. Raymonds kommentar om hackers vs crackers.

Kom ihåg att en ”hacker” enligt honom är en duktig utvecklare som skapar coola hårdvaror och mjukvaror och att de som vi idag kallar ”hackers” förr i tiden kallades crackers.

If you want to be a hacker, keep reading. If you want to be a cracker, go read the alt.2600 newsgroup and get ready to do five to ten in the slammer after finding out you aren’t as smart as you think you are. And that’s all I’m going to say about crackers.

Eric S. Raymond

.. och sist ut, de nya hattarna, enligt en IT-säkerhetstidning vid namn ”Infosec Insights”. Vi är skeptiska…

Red hat
En white hat som går för långt. IBM vill nog helst inte att man använder denna hattfärg, då de äger företaget med samma namn. Mer grey hat än ”red” och kan lätt sortera under ”hacktivism” istället.

Blue hat
Hackar för att hämnas. Black hat om du frågar mig.

Green hat
Oerfaren hackare, men inte en skript kiddie.

Slutligen vill jag kommentera att hattarna är en filosofisk/etisk diskussion som saknar koppling till all form av legalitet. Alltså, oavsett hattfärgen kan en hackare vara olaglig eller laglig.

Länkar – grey hat

• Grundläggande definitioner av olika hatt-färger inom IT-säkerhet.
• Mer grundläggande om vår älskade och hatade hattar.
• Khalil Shreatehs fadäs mot Facebook.
• Intressant diskussion om Grey hats.
• Goatse security och Weev.
• Erik S. Raymonds ”How to become a hacker”.

Felaktigheter – grey hat

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #131 – Grey hat hackers dök först upp på IT-säkerhetspodden.