Cybersäkerhetsforskare och myndighet i konflikt om publika sårbarhetsuppgifter

Indiens nationella cybersäkerhetsbyrå CERT-In har bett den oberoende cybersäkerhetsforskaren Nisarga Adhikary att upphöra med offentliga tillkännagivanden av sårbarheter han upptäcker innan de har åtgärdats.

Adhikary har vägrat att följa uppmaningen, särskilt om de berörda organisationerna eller CERT-In inte svarar på de rapporterade sårbarheterna inom en rimlig tidsram, som 3-4 veckor. Forskaren betonar att han utför sitt arbete gratis och ansvarsfullt, till skillnad från de myndighetspersoner som får betalt och som han menar ställer upp "meningslösa regler".

Enligt Adhikary ger han organisationer 3-4 veckor på sig att åtgärda problem och publicerar inte några exploaterbara bevis eller detaljer. Han har tidigare uppmärksammats för att ha avslöjat sårbarheter i Indiens Central Board of Secondary Education (CBSE) system, varefter han fick anställning vid IIT Kanpur. Han har också rapporterat om myndighetens oförmåga att hantera rapporterade säkerhetsluckor och ibland om dess tekniska kompetens.

Forskaren hävdar att CERT-In ofta misslyckas med att åtgärda sårbarheter och tar åt sig äran för forskningen. En annan cybersäkerhetsexpert, Karan Saini, har tidigare kritiserat CERT-In:s tekniska team och konstaterat att offentliga medel för cybersäkerhet i Indien till stor del slösas bort.