Holenderskie służby zyskały prawo do cyberataków z wykorzystaniem luk 0‑day

Problem z lukami typu 0-day polega na tym, że są one nieznane producentowi wadliwego oprogramowania. Przeciętny zjadacz chleba dowiaduje się o istnieniu takiej luki najczęściej wtedy, gdy producent wyda do niej poprawkę lub też wówczas, gdy media poinformują o atakach z wykorzystaniem takiej luki.

Zgodnie z nowymi przepisami holenderskie organa ścigania muszą zgłaszać odkryte przez siebie luki do Narodowego Centrum Bezpieczeństwa Cyfrowego. Ono dopiero poinformuje producentów oprogramowania o znalezieniu zagrożenia. Zanim to jednak nastąpi, policja i służby specjalne mogą wykorzystywać taką lukę. Nie tylko zresztą taką. Przepisy pozwalają bowiem na atakowanie wcześniej znanych podatności, które nie zostały załatane przez producenta lub użytkownika.

Krytycy najnowszego pomysłu władz w Amsterdamie obawiają się, jak to zwykle w takich przypadkach bywa, naruszeń prywatności. Zastanawiają się też, czy policja nie stanie się klientem na internetowym czarnym rynku i czy pieniądze podatników nie będą trafiały do rąk przestępców sprzedających informacje o lukach 0-day. Holenderski rząd nie tylko nie odciął się od takich spekulacji, ale stwierdził, że odkrywanie luk w oprogramowaniu i sprzedaż w internecie informacji na ich temat nie są nielegalne. Problemem tym, zdaniem władz, powinni zająć się producenci oprogramowania, na przykład poprzez skupowanie takich informacji.

Obecnie zarówno rząd Holandii jak i Komisja Europejska pracują nad przepisami mającymi na celu uregulowanie rynku handlu lukami 0-day. Niewykluczone więc, że w przyszłości rządowi agenci za pieniądze podatników będą na czarnym rynku kupowali od cyberprzestępców informacje, które wykorzystane zostaną później do inwigilowania tychże podatników.