การแฮกเข้าคอมพิวเตอร์เป็นผิดกฎหมายเกือบทุกประเทศ
ในสหราชอาณาจักร กฎหมายหลักที่จัดการอาชญากรรมคอมพิวเตอร์คือ Computer Misuse Act 1990 ซึ่งเป็นฐานของกฎหมายอาชญากรรมคอมพิวเตอร์ในหลายประเทศคอมมอนเวลธ์
แต่มันก็เป็นกฎหมายที่ข้อโต้แย้งมาก และเพิ่งอัปเดตให้ GCHQ องค์กรข่าวกรองหลักของ UK มีสิทธิ์ทางกฎหมายแฮกเข้าคอมพิวเตอร์ใดๆ ที่ต้องการ มันคืออะไร และระบุอะไร?
แฮกเกอร์รุ่นแรก
Computer Misuse Act เขียนและบังคับใช้ครั้งแรกในปี 1990 แต่ไม่ได้หมายถึงไม่มีอาชญากรรมคอมพิวเตอร์ก่อนหน้านั้น แค่ยากมาก หากไม่ใช่เป็นไปไม่ได้ ที่จะติดตามคดี หนึ่งในคดีอาชญากรรมคอมพิวเตอร์แรกที่ถูกดำเนินคดีใน UK คือ R v Robert Schifreen and Stephen Gold ในปี 1985
Schifreen และ Gold ใช้อุปกรณ์คอมพิวเตอร์พื้นฐานซื้อมาตรงจากชั้นวาง จำลองระบบ Viewdata ซึ่งเป็นระบบรูปแบบต้นแบบแบบรวมศูนย์ก่อนยุคอินเทอร์เน็ตสมัยใหม่ ของ Prestel บริษัทย่อยของ British Telecom การแฮกค่อนข้างง่าย พวกเขาพบวิศวกร British Telecom และ "shoulder-surf" (มองจากข้างบน) ขณะเขาพิมพ์ข้อมูลล็อกอิน (ชื่อผู้ใช้ '22222222' รหัสผ่าน '1234') ด้วยข้อมูลนี้ พวกเขาเล่นเสรีใน Viewdata รวมถึงอ่านข้อความส่วนตัวของราชวงศ์อังกฤษ
British Telecom เร็วๆ นี้สงสัย และเริ่มติดตามบัญชี Viewdata ที่น่าสงสัย
ไม่กี่วัน ยืนยันความสงสัย BT แจ้งตำรวจ Schifreen และ Gold ถูกจับและถูก控告 ตาม Forgery and Counterfeiting Act พวกเขาถูกตัดสินมี罪 และปรับ 750 และ 600 ปอนด์ตามลำดับ ปัญหาคือ Forgery and Counterfeiting Act ไม่ได้ครอบคลุมอาชญากรรมคอมพิวเตอร์ โดยเฉพาะที่แรงจูงใจเป็นความอยากรู้ ไม่ใช่เป้าหมายทางการเงิน
Schifreen และ Gold อุทธรณ์ต่อคำพิพากษา และชนะ
ฝ่ายฟ้องร้องอุทธรณ์ต่อคำพิพากษาปลดโทษไปยัง House of Lords และแพ้ ผู้พิพากษาคนหนึ่ง คือ Lord David Brennan รักษาการปลดโทษ และเพิ่มว่า หากรัฐบาลต้องการดำเนินคดีอาชญากรรมคอมพิวเตอร์ ควรสร้างกฎหมายที่เหมาะสม
ความจำเป็นนี้นำไปสู่การสร้าง Computer Misuse Act
อาชญากรรม 3 ประการของ Computer Misuse Act
Computer Misuse Act เมื่อบังคับใช้ปี 1990 ทำให้พฤติกรรม 3 ประการเป็นอาชญากรรม แต่ละอย่างมีโทษต่างกัน
- เข้าถึงระบบคอมพิวเตอร์โดยไม่ได้รับอนุญาต
- เข้าถึงระบบคอมพิวเตอร์เพื่อทำหรือช่วยให้เกิดอาชญากรรมอื่นๆ
- เข้าถึงระบบคอมพิวเตอร์เพื่อทำลายการทำงานของโปรแกรม หรือแก้ไขข้อมูลที่ไม่ใช่ของตน
สำคัญ: เพื่อจะเป็นอาชญากรรมภายใต้ Computer Misuse Act 1990 ต้องมี เจตนา (intent) ไม่ใช่อาชญากรรม หากใครเชื่อมต่อเซิร์ฟเวอร์หรือเครือข่ายที่ไม่มีสิทธิ์เข้าถึงโดยไม่ได้ตั้งใจและบังเอิญ
แต่เป็นผิดกฎหมายสมบูรณ์ หากใครเข้าถึงระบบด้วยเจตนา พร้อมรู้ว่าไม่มีสิทธิ์เข้าถึง
ด้วยความเข้าใจพื้นฐานของสิ่งที่จำเป็น 主要由于技术相对较新，该立法在其最基本的形式下并未将人们可以用计算机做的其他不良行为定为犯罪。因此，它以来已被多次修订，得到了完善和扩展。
การโจมตี DDoS อยู่ในกฎหมายไหม?
ผู้อ่านที่ใส่ใจจะสังเกตว่า ภายใต้กฎหมายที่อธิบายข้างต้น การโจมตี DDoS ไม่ใช่ผิดกฎหมาย 儘管ก่อให้เกิดความเสียหายและความวุ่นวายมาก นั่นเพราะ DDoS ไม่ได้เข้าถึงระบบ แต่ท่วมมันด้วยการส่งトラフィคปริมาณมหาศาลไปที่ระบบเป้าหมาย จนมันรับไม่ไหว
การโจมตี DDoS ถูกทำให้เป็นอาชญากรรมในปี 2006 หนึ่งปีหลังศาลปลดโทษวัยรุ่นที่ส่งอีเมลเกิน 5 ล้านฉบับให้นายจ้าง กฎหมายใหม่แนะนำใน Police and Justice Act 2006 เพิ่มแก้ไข Computer Misuse Act ทำให้การกระทำที่ทำให้การดำเนินงานหรือการเข้าถึงคอมพิวเตอร์/โปรแกรมบกพร่องเป็นอาชญากรรม
เหมือนกฎหมาย 1990 นี้เป็นอาชญากรรมก็ต่อเมื่อมี เจตนา และ ความรู้ ที่จำเป็น การเปิดโปรแกรม DDoS ขึ้นมาโดยเจตนาเป็นผิดกฎหมาย แต่ติดไวรัสที่เปิดโจมตี DDoS ไม่ใช่ผิด
สำคัญ: ในจุดนี้ Computer Misuse Act ไม่เลือกปฏิบัติ การที่ตำรวจหรือสายลับแฮกเข้าคอมพิวเตอร์ ผิดกฎหมายเท่ากับวัยรุ่นในห้องนอน ทั้งนี้เปลี่ยนไปในแก้ไขเพิ่มเติมปี 2015
ห้ามสร้างไวรัสด้วย
ส่วนอื่น (มาตรา 37) เพิ่มเข้ามาในภายหลังของ Computer Misuse Act ทำให้การผลิต การได้มา และการจัดหาสิ่งของที่อาจช่วยอาชญากรรมคอมพิวเตอร์ เป็นผิดกฎหมาย
ทำให้ผิดกฎหมาย ตัวอย่างเช่น สร้างระบบซอฟต์แวร์ที่เปิดโจมตี DDoS หรือสร้างไวรัสหรือโทรจัน
แต่นี่นำไปสู่ปัญหาทiềm năng แรก: หมายถึงอะไรต่ออุตสาหกรรมวิจัยความปลอดภัยที่ถูกต้อง ซึ่งผลิตเครื่องมือแฮกและ exploits เพื่อเพิ่มความปลอดภัยคอมพิวเตอร์?
สอง: "เทคโนโลยี dual-use" ที่ใช้ได้ทั้งถูกและผิด กรณีศึกษาดีคือ Google Chrome ใช้ท่องเว็บได้ แต่ก็ใช้เปิดโจมตี SQL Injection ได้
คำตอบคือ อีกครั้ง: เจตนา ใน UK การดำเนินคดีโดย Crown Prosecution Service (CPS) ซึ่งตัดสินใจว่าควรดำเนินคดีใคร การตัดสินใจอ้างอิงคำแนะนำเขียนไว้ ที่ CPS ต้องปฏิบัติ
ในกรณีนี้ คำแนะนำระบุว่า การดำเนินคดีภายใต้มาตรา 37 ควรทำก็ต่อเมื่อมีเจตนาอาชญากรรม ยังเพิ่มว่า เพื่อตัดสินใจว่าสินค้าถูกสร้างเพื่อช่วยอาชญากรรมคอมพิวเตอร์ ผู้ดำเนินคดีควรพิจารณาการใช้งานที่ถูกต้อง และแรงจูงใจในการสร้างมัน
สิ่งนี้ ทำให้การผลิตมัลแวร์เป็นอาชญากรรม ขณะที่ยังอนุญาตให้ UK มีอุตสาหกรรมความปลอดภัยข้อมูลที่รุ่งเรือง
"007 - License to Hack"
Computer Misuse Act อัปเดตอีกครั้งต้นปี 2015 แบบเงียบๆ ไม่มีแฟนฟาเรร์ เปลี่ยนแปลงสำคัญ 2 อย่าง
หนึ่ง: อาชญากรรมคอมพิวเตอร์บางอย่างใน UK ตอนนี้โทษถึงคุกชีวิต จะได้รับหากแฮกเกอร์มีเจตนาและรู้ว่าการกระทำไม่ได้รับอนุญาต และมีศักยภาพก่อให้เกิด "ความเสียหายร้ายแรง" ต่อ "สวัสดิภาพมนุษย์และความมั่นคงแห่งชาติ" หรือ "ไม่แคร์ว่าจะก่อให้เกิดความเสียหายเช่นนั้น"
โทษเหล่านี้ไม่ได้ใช้กับวัยรุ่นไม่พอใจทั่วไป มันสำหรับผู้เปิดโจมตีที่มีศักยภาพทำลายชีวิตมนุษย์อย่างร้ายแรง หรือมุ่งเป้าสูโครงสร้างพื้นฐานสำคัญของชาติ
สอง: ให้ตำรวจและเจ้าหน้าที่ข่าวกรองมีความคุ้มครองจากกฎหมายอาชญากรรมคอมพิวเตอร์ที่มีอยู่ บางคนยินดีว่าอาจทำให้การสืบสวนง่ายขึ้นสำหรับอาชญากรที่ใช้เทคโนโลยีบังบนกิจกรรม แต่อื่นๆ เช่น Privacy International กังวลว่าพร้อมสำหรับการใช้ประโยชน์ผิด และการตรวจสอบและสมดุลที่เพียงพอไม่มีสำหรับกฎหมายประเภทนี้
การเปลี่ยนแปลง Computer Misuse Act ผ่านเมื่อ 3 มีนาคม 2015 และบังคับใช้เมื่อ 3 พฤษภาคม 2015
อนาคตของ Computer Misuse Act
Computer Misuse Act เป็นกฎหมายที่ "มีชีวิต" เปลี่ยนแปลงตลอดชีวิต และน่าจะยังคงเปลี่ยนแปลง
การเปลี่ยนแปลงต่อไป น่าจะมาจากสแกนดอลแฮกโทรศัพท์ News of The World และน่าจะกำหนดให้สมาร์ทโฟนเป็นคอมพิวเตอร์ (ซึ่งมันจริงๆ แล้วเป็น) และเพิ่มอาชญากรรมการเปิดเผยข้อมูล ด้วยเจตนา
จนกว่าจะถึงเวลานั้น ผมอยากฟังความคิดเห็นของคุณ คิดว่ากฎหมายไปไกลเกินไป? หรือไม่พอ? บอกมา และเราจะคุยกันด้านล่าง
เครดิตภาพ: แฮกเกอร์และแลปท็อป Via Shutterstock, Brendan Howard / Shutterstock.com, Anonymous DDC_1233 / Thierry Ehrmann, อาคาร GCHQ / MOD
