De wetgeving in de Verenigde Staten die cybercrime moet bestrijden wordt ook gebruikt voor het dwarsbomen van hackers en beveiligingsonderzoekers die het internet juist veiliger willen maken. De Computer Fraud and Abuse Act (CFAA) is veel onderzoekers dan ook een doorn in het oog.

Beveiligingsonderzoeker HD Moore, bedenker van de populaire hackingtool Metasploit en chief research officer bij beveiligingsbedrijf Rapid7, werd vorig jaar door de Amerikaanse overheid gewaarschuwd vanwege een onderzoek dat hij uitvoerde. Het ging om een scanproject genaamd Critical.IO, waarbij hij naar veelvoorkomende kwetsbaarheden op het internet zocht.

Tijdens het onderzoek werden verschillende problemen ontdekt, zoals kwetsbaarheden in het Universal Plug and Play (UPnP) protocol, waardoor tientallen miljoenen apparaten risico liepen. Hoewel hij duidelijk was over zijn rol en reden voor het onderzoek, zegt Moore tegenover de Guardian dat hij toch door een Amerikaanse overheidsinstantie op de huid werd gezeten. Welke overheidsinstantie het is wil Moore niet zeggen, maar het incident zorgde ervoor dat hij zich tijdelijk uit de beveiligingsindustrie trok.

Onderzoek

Ook Zach Lanier, onderzoeker bij Duo Security, zegt dat zijn team vaak met CFAA-problemen te maken krijgt. In veel gevallen gebruiken de partijen van wie de onderzoekers de spullen onderzoeken, juist zodat ze veiliger kunnen worden gemaakt, de CFAA om te claimen dat de onderzoekers op de systemen inbreken.

Zo ontdekte Lanier ernstige kwetsbaarheden in een ingebed apparaat dat op kinderen is gericht. Hij rapporteerde de lekken aan de fabrikant, maar werd vervolgens door de advocaat van het bedrijf met juridische stappen bedreigd. Uiteindelijk besloot Lanier en zijn team het onderzoek dan ook te laten liggen.

Hervorming

Op dit moment wordt geprobeerd om de CFAA te hervormen, die volgens onderzoekers te zware straffen met zich meedraagt, te vaag is en geen rekening met de context houdt. Het is echter de vraag of het Amerikaanse Congres hiermee zal instemmen. Vanwege vermeende Chinese cyberspionage zouden veel congresleden juiste strengere straffen willen zien.

Ook bestaat de angst dat als de wet wordt aangepast, cybercriminelen straks zullen zeggen dat ze eigenlijk beveiligingsonderzoek uitvoerden. Moore merkt op dat er betere manieren zijn om te definiëren of te bewijzen wat legitiem onderzoek is, maar erkent ook dat de problematiek niet eenvoudig is op te lossen. "Maar het is belangrijk en de moeite waard om te doen als we onszelf willen beschermen."