Мнения по поводу вчерашней заметки (https://t.me/interface31/5265) разделились, кто-то считает, что производитель не сделал ничего такого, а, наоборот, молодец, быстро исправил косяк и уберег пользователей от различных негативных последствий.
Но история любит повторяться, подобный прецедент уже был, это - CVE-2018-14847 для роутеров Mikrotik, которые также позволяли через уязвимость удаленно захватывать управление устройством.
Mikrotik достаточно быстро выпустил новую версию ROS с устранением уязвимости, но далеко не все своевременно обновили устройства и по интернету пошла волна взломов с самыми различными негативными последствиями.
И вот тут нашелся некто «хакер» Алексей, который проникся проблемами пользователей и решил сеять разумное, доброе, вечное. А именно написал скрипт, который находил уязвимые роутеры, обновлял их на актуальную прошивку и отключал удаленный доступ к управлению роутером на внешнем интерфейсе.
Всего он таким образом «вылечил» около 100 тыс. устройств, также в комментариях он оставлял свои контакты в Телеграмм. За все это время к нему обратились около 50 человек, причем поблагодарили только пару, остальные были предельно возмущены.
А в статье на Хабре товарищу Алексею быстро пояснили, что его деяния имеют состав 272 УК РФ - Неправомерный доступ к компьютерной информации
1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272.1 настоящего Кодекса, -
наказывается штрафом в размере до двухсот тысяч рублей или … ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.
Оно как бы и немного, но сам факт наличия судимости по уголовной статье в нашей стране способен здорово испортить жизнь и карьеру.
А большинство «облагодетельствованных» пришло к выводу, что «хакер» Алексей поступил как настоящий чудак на букву «м».
И их можно понять. Что если этот роутер стоял где-то там в пампасах, куда три дня лесом, два дня полем и тут пропадает управление удаленным устройством? А если оно вообще превратилось при прошивке в кирпич?
А если из-за этого случился простой? Оказалось, сорвано важное мероприятие? Или наступили какие иные негативные последствия?
Да, он и так мог случиться, но тогда отвечал бы за него или системный администратор, или некие неизвестные злоумышленники, которых еще найти надо. А тут вот он виновник – «хакер» Алексей. И вот она готовая статья.
А в нашей ситуации Keenetic решил примерить роль «хакера» Алексея на себя, сделав фактически тоже самое – пропатчив и запретив внешний доступ, т.е. лишив ряд пользователей доступа к устройству.
Причем тут уже рисуется та же 272 УК РФ, но уже пункт 3:
Деяния, предусмотренные частями первой или второй настоящей статьи, совершенные группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, -
наказываются штрафом в размере до пятисот тысяч рублей или в размере заработной платы или … ограничением свободы на срок до четырех лет, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.
Понятно, что кто же их посадит, они же
Но мы сейчас даже не о том, а о репутации. В свое время Mikrotik допустил массовый взлом роутеров своей марки, но сохранил репутацию надежного поставщика. Потому что даже если мог, он не стал делать ничего против явной воли пользователя. И это важно.
Keenetic на волю пользователя положил болт, в одночасье обнулив репутацию, так как показал, что ваши устройства – совсем не ваши и мы можем делать с ними что захотим и когда захотим. А это существенная разница.