DPP v Lennon

DPP против Леннона — первое зарегистрированное уголовное дело в Великобритании, касающееся так называемых атак типа « отказ в обслуживании » (DoS). Апелляционный суд установил, что DoS-атаки представляют собой правонарушение, связанное с несанкционированной модификацией согласно ст. 3 Закона о неправомерном использовании компьютеров 1990 года (CMA) и тем самым разъяснил закон, касающийся DoS.

Факты

Леннон, 16-летний подросток, проработал в компании Domestic & General Group PLC (D&G) три месяца, пока не был уволен в декабре 2003 года. В январе 2004 года Леннон скачал из Интернета программу для почтовых бомбардировок Avalanche v3. 6 и использовал его для бомбардировки D&G электронными письмами. Бомбардировка по электронной почте — это действие, при котором программа намеренно отправляет большое количество электронных писем на определенный адрес электронной почты внутри компании, и является примером DoS-атаки, при которой выполняются множественные запросы с целью замедлить или отключить сеть .

Лавина была настроена на «почту, пока не остановится». В электронных письмах также было подделано имя Бетти Роудс, менеджера по персоналу D&G, поэтому казалось, что они исходили от Роудса, а не от Леннона. По оценкам, за выходные на серверы группы было получено почти 5 миллионов электронных писем, последнее из которых было отправлено г-же Роудс с заявлением, что «это не прекратится». В результате серверы D&G были перегружены и вышли из строя вместе с корпоративным веб-сайтом. Отдел компьютерных преступлений столичной полиции проследил за атакой по адресу в Уэст-Мидлендсе. Леннон был арестован, допрошен и отправлен на суд в Уимблдонский суд по делам несовершеннолетних .

Решение

Обвиняемый признался на допросе, что он загрузил программу и отправил электронные письма, «модифицируя» сервер D&G, с намерением вызвать «небольшой беспорядок». Однако он не считал, что совершил что-то преступное, а также не осознавал ни последствий своих действий, ни намерения причинить D&G ущерб, который оценивался почти в 18 000 фунтов стерлингов. Более того, он заявил, что мог провести «пинг-атаку», но не сделал этого, поскольку это просто замедлит работу сети на несколько часов. Таким образом, он признал, что, по крайней мере, он рассмотрел относительную возможность прерывания двух вариантов действий и выбрал тот, который с большей вероятностью может создать проблемы для D&G.

Затем Леннону было предъявлено обвинение в нарушении статьи 3 CMA за «несанкционированную модификацию» компьютера, зная, что модификация была несанкционированной, и тем самым он навсегда или временно нарушил правильную работу этого компьютера. Ключевой вопрос заключался в том, была ли эта модификация разрешена и дала ли D&G согласие на эти изменения. SS. 17(7б) и 17(8) предоставить установленные законом определения «несанкционированной модификации», где в первом разделе ясно указано, что модификация включает в себя добавление какой-либо программы или данных, а во втором разделе «несанкционированная модификация» определяется как ситуация, когда (ответчик) не имеет согласия на изменение со стороны лицо, имеющее право определять, следует ли вносить это дополнение. В мировом суде Уимблдона обвинение заявило, что Леннон выполнил элементы раздела 3(1), поскольку он вызвал изменение содержимого почтовых серверов D&G .

Защита не оспаривала, что отправка и получение каждого электронного письма приводили к модификации сервера D&G. Одновременно защита заявила об «отсутствии ответа» на том основании, что обвиняемый, отправляя электронные письма, не имел возможности указать, что его действия были несанкционированными. Основой аргумента ответчика было то, что, поскольку сама функция сервера электронной почты заключалась в получении электронных писем, каждое отдельное электронное письмо, отправленное на сервер, имеет право изменять его, и не может быть порога, при превышении которого огромное количество авторизованных транзакций становится несанкционированным. . Таким образом, D&G должен был дать согласие на получение электронных писем и модификацию сервера, чтобы он не мог быть виновен в нарушении статьи 3(1).

Напротив, обвинение, во-первых, возразило, что согласие может быть только на добросовестные электронные письма, чего у ответчика не было. Во-вторых, электронные письма были несанкционированными с того момента, как Avalanche получила указание их отправить. В-третьих, даже если было несколько писем, которые были подразумеваемо авторизованы, существовал порог, при котором их количество переступало порог несанкционированных. Наконец, они утверждали, что все электронные письма были несанкционированными, поскольку они исходили от ответчика, а не от предполагаемого отправителя.

Окружной судья Грант, заседавший в качестве суда по делам несовершеннолетних, принял довод защиты и постановил, что нет оснований для ответа, отклонив обвинения против Леннона. Он также заявил, что раздел 3 должен был касаться отправки вредоносных материалов, таких как вирусы , черви и троянские программы , которые изменяют данные, но не отправки электронных писем. Кроме того, поскольку серверы D&G были настроены на получение электронных писем, каждое электронное письмо, отправленное ответчиком на индивидуальной основе, подразумеваемое согласие на каждое из них привело к коллективному подразумеваемому согласию, и, таким образом, внесенные изменения были разрешены.

Обращаться

Директор государственной прокуратуры (DPP) обжаловал решение об отсутствии ответа . Лорд-судья Кин и судья Джек не согласились с доводами судьи Гранта, удовлетворили апелляцию и передали дело окружному судье для продолжения слушания , заявив, что окружной судья «скорее упустил из виду реальность ситуации, ошибочно установив, что дела не было». ответить». Вопрос, который должен был рассмотреть этот суд, заключался в том, было ли добавление данных на сервере D&G, возникшее в результате получения электронных писем, отправленных Ленноном, несанкционированным по смыслу статьи 17(8). Ответить на этот вопрос было несложно, поскольку Леннон не был человеком, уполномоченным определять, следует ли вносить такую ​​«модификацию» или нет. Итак, раздел 17(8а) выполнен. Затем вопрос заключался в том, имел ли Леннон «согласие на изменение от любого лица, имевшего на это право» согласно ст. 17(8б).

Что касается вопроса о согласии, окружной суд согласился с тем, что владелец сервера электронной почты даст согласие на получение электронных писем. Однако он постановил, что это подразумеваемое согласие не было безграничным. Таким образом, хотя D&G, возможно, и дала подразумеваемое согласие на отправку электронного письма, она не согласилась бы на то, чтобы ее перегрузили большим количеством электронных писем. Суд провел аналогию с пешеходной дорожкой на частной территории . Точно так же, как домовладелец, имеющий подразумеваемое разрешение, данное представителям общественности, идущим по его или ее пути и доставляющим почту через почтовый ящик, такое подразумеваемое разрешение не может распространяться на грабителей, использующих этот путь или заставляющих почтовый ящик «забиваться вещами». мусор". Не было необходимости определять пределы этого согласия; достаточно было указать, что подразумеваемое согласие распространяется на электронные письма, отправленные с целью связи с владельцем, и отзывается, когда электронные письма отправляются с целью прерывания работы и использования системы.

Вопреки утверждениям ответчика, его поведение следует рассматривать не в отдельности, а в целом, поскольку электронные письма были отправлены с помощью одной программы. Кроме того, Avalanche должна была работать до тех пор, пока не остановится, поэтому цель Леннона была очевидна с того момента, как он запустил программу. Кроме того, что касается четвертого представления обвинением поддельных адресов электронной почты, ссылаясь на раздел 3(4) и дело Зезева, суд постановил, что не было согласия на отправку электронных писем от имени г-жи Роудс, не было согласия на получение вредоносных электронных писем, якобы отправленных от сотрудника. Однако суд прямо заявил, что не при всех обстоятельствах электронное письмо, предположительно отправленное от лица, не являющегося его отправителем, должно рассматриваться как несанкционированное, поскольку разрешение или нет зависит от обстоятельств, то есть от того, где оно было отправлено ради шутки.

Возвращая дело на рассмотрение, суд предложил окружному судье рассматривать это как проверку: знал ли Леннон, что то, что он делал, было несанкционировано, какого ответа он ожидал бы, если бы спросил D&G, может ли он начать программа.

Леннон, которому тогда было 19 лет, был признан виновным и приговорен к двум месяцам комендантского часа с помощью электронной метки. Ленноном вины Лорд Диксон, заседавший в WMC, постановил, что признание указывает на то, что DoS-атака является серьезным уголовным преступлением.

Комментарий

Хотя в апелляционном порядке суд решил проблему DoS, поскольку было достаточно даже осознания того, что несанкционированное электронное письмо может ухудшить работу целевой системы, проблемы, связанные с подразумеваемым согласием и, следовательно, разрешением на получение электронной почты, остаются нерешенными.

Первоначальное решение магистратского суда вызвало серьезные комментарии и смятение, а также привело к возобновлению призывов к обновлению CMA, чтобы учесть изменения в технологиях и их использовании. Закон о полиции и правосудии 2006 года (раздел 36) внес поправки в статью 3 CMA, устанавливающую уголовную ответственность за DoS-атаки, наказуемые лишением свободы на срок до 10 лет. Эта поправка привела Великобританию в соответствие со статьей A.5 Конвенции Совета Европы о киберпреступности ЕС и статьей A.3 Рамочного решения об атаках на информационные системы .

См. также

• Шантажировать
• Ботнет
• Киберпреступность
• ДоСнет
• Электронная бомба
• Взлом
• Роберт Шифрин
• Троянский конь (компьютеры)
• Зомби (информатика)

Внешние ссылки

• Рамочное решение Совета об атаках на информационные системы , 17 января 2005 г., 15010/04.
• Конвенция Совета Европы о киберпреступности , CETS №: 185, 23.11.2001.
• Дополнительный протокол Совета Европы к Конвенции о киберпреступности , касающийся криминализации действий расистского и ксенофобского характера, совершаемых с помощью компьютерных систем, ETS №:189.
• Закон о неправомерном использовании компьютеров 1990 года .
• Закон о полиции и правосудии , ст. 36 .

Дальнейшее чтение

• Закон о связи 2003 г.
• Эдвардс, Лилиан (2006). «На заре смерти распределенного отказа в обслуживании: как убить зомби» . Журнал закона о искусстве и развлечениях Кардозо . 24 (1): 23–62.
• Лейден Дж., шотландец в суде по обвинению в DDoS .
• Депутат вносит в парламент закон об отказе в обслуживании .
• Рид К. и Энджел Дж. (2007) Компьютерное право (6-е изд.), Глава 12 – Неправильное использование компьютеров
• Уолтон, Ричард (2006). «Закон о неправомерном использовании компьютеров». Технический отчет по информационной безопасности . 11 : 39–45. дои : 10.1016/j.istr.2005.11.002 .
• Достойно, Джон; Фаннинг, Мартин (2007). «Отказ в обслуживании: закрытие юридических лазеек?». Обзор компьютерного права и безопасности . 23 (2): 194–198. дои : 10.1016/j.clsr.2007.01.004 .
• Зезев против начальника тюрьмы Ее Величества Брикстон , [2002] 2 Cr App R 33