Kyberturvallisuustutkija ja viranomainen kiistassa julkisista haavoittuvuustiedoista

Intian kyberturvallisuusvirasto CERT-In on pyytänyt riippumatonta kyberturvallisuustutkijaa Nisarga Adhikarya lopettamaan löytämiensä haavoittuvuuksien julkisen ilmoittamisen ennen kuin ne on korjattu.

Adhikary kieltäytyi pyynnöstä, erityisesti jos asianomaiset organisaatiot tai CERT-In eivät reagoi paljastettuihin haavoittuvuuksiin kohtuullisessa ajassa, kuten 3–4 viikossa. Tutkija korostaa tekevänsä työtä ilmaiseksi ja vastuullisesti, toisin kuin maksunsa saavat viranomaiset, jotka hänen mukaansa asettavat "merkityksettömiä sääntöjä".

Adhikaryn mukaan hän antaa organisaatioille 3–4 viikkoa aikaa korjata ongelmat eikä julkaise toimintakykyisiä todisteita tai yksityiskohtia. Hän on aiemmin saanut huomiota paljastamalla haavoittuvuuksia Intian keskuskoulutuslautakunnan (CBSE) järjestelmissä, minkä jälkeen hän sai työpaikan IIT Kanpurista. Hän on myös raportoinut viraston kyvyttömyydestä käsitellä raportoituja tietoturva-aukkoja ja ajoittain sen teknisestä osaamisesta.

Tutkijan mukaan CERT-In epäonnistuu usein haavoittuvuuksien korjaamisessa ja ottaa kunnian tutkimuksesta. Toinen kyberturvallisuusasiantuntija Karan Saini on aiemmin kritisoinut CERT-In:n teknistä tiimiä ja todennut, että julkinen raha kyberturvallisuuteen Intiassa menee suurelta osin hukkaan.