الخط الأحمر: ما يفصل التعلّم عن الجريمة
الفرق ليس في الأداة ولا في النية، بل في الإذن. نفس الأمر الذي هو مهارة مطلوبة على مختبرك يصبح مخالفة يعاقب عليها القانون على نظام غيرك.
القاعدة التي لا استثناء لها
لا توجّه أداة فحص أو استطلاع أو تحقق إلى نظام لا تملكه ولا تملك إذنًا مكتوبًا باختباره. "مجرد تجربة"، و"لم أُحدث ضررًا"، و"الأمر متاح على الإنترنت" — لا شيء من ذلك دفاع قانوني. الوجود التلقائي لثغرة لا يمنحك حقًا في لمسها.
مسموح وممنوع — بلا رمادي في المنتصف
داخل الخط
- الفحص على أجهزتك وشبكتك الخاصة
- مختبر افتراضي معزول على جهازك
- منصّات تدريب مصمَّمة أصلًا للهجوم (TryHackMe، HTB، PortSwigger…)
- نظام عميل لديك تصريح مكتوب باختباره وداخل النطاق المتفق
- برامج مكافآت الثغرات (Bug Bounty) ضمن نطاقها المعلن
- تحليل عيّنة مشبوهة في بيئة معزولة بلا شبكة
خارج الخط
- فحص موقع أو خدمة "للتجربة" بلا إذن
- عناوين IP عشوائية أو نطاقات لا تملكها
- شبكات الجيران أو نقاط وصول عامة
- التجاوز من أصل مسموح إلى أصل مرتبط لم يُذكر في النطاق
- إخفاء أثر الفحص أو تعديل سجلات الأنظمة
- نشر ثغرة بلا إبلاغ الجهة صاحبة العلاقة أولًا
العواقب حقيقية، والقوانين تختلف من بلد لآخر
معظم الدول تجرّم الدخول غير المصرّح به إلى الأنظمة والشبكات والبيانات، وكذلك محاولة الدخول حتى لو لم تكتمل أو لم تُسبّب أي ضرر ظاهر. في كثير من الأنظمة القانونية لا يُشترط إثبات الضرر: الوصول بلا إذن هو الجريمة نفسها.
في سلطنة عُمان يوجد قانون مكافحة جرائم تقنية المعلومات (المرسوم السلطاني رقم 12 لسنة 2011) الذي يعالج الدخول غير المصرّح به والاستيلاء على البيانات والإضرار بالأنظمة، مع عقوبات قد تصل إلى الحبس والغرامة المالية حسب الفعل وظروفه. وبلدان أخرى لها تشريعات مماثلة بأسماء مختلفة، وتصل العقوبة في كثير منها إلى الغرامة الثقيلة والحبس. كما قد تتأثر أعمالك بعُرف العمل والمسؤولية المدنية تجاه الطرف المتضرر بشكل مستقل عن العقوبة الجزائية.
التفاصيل والنصوص ومدد العقوبات تتغيّر وتختلف بحسب الفعل والظرف والجهة القضائية، وهذه الصفحة معلومات عامة لا رأي قانوني. إذا كنت تعمل في بيئة تجارية أو حكومية، راجع الجهة القانونية المختصة والتزم بمتطلبات بلدك وجهة العمل قبل أي نشاط.
كيف تحصل على إذن مكتوب يصمد
الإذن الشفهي لا قيمة له عند الخلاف. تحتاج وثيقة موقّعة من شخص يملك صلاحية التوقيع فعلًا — لا من مهندس متحمّس.
حدّد الطرف المُصرِّح
اسأل صريحًا: هل تملك صلاحية الموافقة على اختبار هذا الأصل؟ إن كان الأصل مستضافًا عند طرف ثالث، فأنت غالبًا تحتاج موافقتين: المالك والجهة المستضيفة.
اكتب النطاق بأسماء وعناوين دقيقة
لا تكتب "موقع الشركة"، بل اكتب النطاقات والنطاقات الفرعية وعناوين IP نطاقًا نطاقًا. الفراغات الدقيقة هي مصدر كل تجاوز.
اذكر الاستثناءات بوضوح
ما لا يُلمس: بيئات الإنتاج الحرجة، الأنظمة الطبية، بوابات الدفع، حسابات الموظفين الحقيقية، وأي خدمة مقدّم خدمة سحابية لا تسمح سياساته باختبارها.
حدّد النافذة الزمنية وجهة الاتصال
اليوم والساعة، ومن يتصل بمن إذا ظهر أثر جانبي. ضع شرطًا صريحًا بإيقاف فوري عند الطلب، ووثّق كيف يصل إليك الطلب.
احتفظ بنسخة قبل البدء
الوثيقة الموقّعة في مجلد المشروع، ونسخة يعرف فريق العميل مكانها. لا تبدأ العمل ورقم الاتصال ليس بحوزتك.
حد أدنى لما يجب أن تحتويه الوثيقة
AUTHORIZATION & SCOPE RECORD
------------------------------------------------------
Client / Asset owner : .....................
Authorized signer : ..... (role) .....
Date & validity : ..... to .....
In scope : domains / IPs / apps (exact list)
Explicitly excluded : .....................
Testing window : days & hours
Allowed techniques : .....................
Forbidden techniques : DoS, social engineering, data
modification, persistence, ...
Emergency contact : name / phone / email
Stop-on-request : yes — immediate
Data handling : storage, encryption, deletion date
Disclosure timeline : critical findings within ... hours
------------------------------------------------------
Signature : .....................الطريق القانوني الجاهز: إن لم تملك عميلًا، فالبديل هو برامج مكافحة الثغرات (Bug Bounty). اقرأ سياسة البرنامج أولًا: النطاق المسموح، التقنيات المرفوضة، وكيفية الإبلاغ. تجاوز نطاق برنامج يعني العودة إلى نقطة الصفر القانونية تمامًا.
اختبار انضباطك: السؤال الذي افترضه لنفسك دائمًا: «هل أستطيع أن أوضح للقاضي في جلسة واحدة لماذا هذا الأمر كان مشروعًا؟» إن كان الجواب فيه أي تلعثم، فأوقف العمل فورًا.
كيف تبلّغ عن ثغرة وجدتها بمحض الصدفة
قد تصادف خللًا في خدمة تستخدمها دون أن تبحث عنه. التصرّف الصحيح هنا محدد وواضح: لا تستغلّه، ولا تنشره، وأبلغ عنه.
1. توقّف عند أول إشارة
بمجرد أن تلاحظ أن الوصول تجاوز حدود حسابك أو بياناتك، أوقف المحاولة. لا تكمل "لأتأكد فقط" — التأكد الإضافي هو بحد ذاته تجاوز جديد.
2. أبلغ الجهة المالكة فقط
استخدم قناة الإفصاح الرسمية: security.txt، صفحة أمنية، أو بريد أمن الفريق. وإن لم تتوفر، أبلغ الدعم واطلب تحويل الرسالة للمسؤول الأمني.
3. اكتب بلاغًا نظيفًا
ما الخلل، كيف يظهر، خطوات إعادة الإنتاج بالحد الأدنى، والأثر المحتمل. لا تُرفق بيانات حقيقية لجهات أخرى، ولا تُرفق لقطات تحتوي بيانات مستخدمين.
4. امنح مهلة معقولة
اتفق على مهلة إصلاح، وتابع بودّ. نشر التفاصيل فورًا قد يعرّض المستخدمين للخطر — وهذا آخر ما يريده من يقدّم بلاغًا أخلاقيًا.
وإن تجاوزت النطاق بغير قصد؟
أوقف كل شيء فورًا
أوقف الأداة، وأغلق الجلسات المفتوحة، ولا تحفظ ما تجاوز النطاق.
أبلغ فورًا لا لاحقًا
اتصل بجهة الاتصال الطارئة في الوثيقة خلال دقائق. الصمت على تجاوز مؤقت قد يحوّل خطأ غير مقصود إلى شبهة سوء نية.
وثّق الوقائع بدقة
ما الأمر الذي نُفّذ، ما الأصل الذي تأثر، متى بدأ ومتى توقف، وما الأثر المرصود. الدقة هنا هي التي تحمي سمعتك ومهنتك.
احذف وثبّت ما يلزم
احذف ما جُمع من خارج النطاق فورًا ووثّق الحذف، ثم راجع إعداداتك وأضف ضوابط تمنع تكرار الخطأ قبل استئناف العمل.
ما يجعل عملك يُحترم
سرية العميل
لا تناقش ما رأيته، ولا تستخدم قصة عينيك في مجالس الأصدقاء. تفاصيل ثغرة ليست مادة للحديث.
صدق في التقرير
لا تضخّم نتيجة لتزداد أهميتك، ولا تُخفِ خللًا لأجل مصلحة. التقرير أمانة، لا سيرة ذاتية.
تدخّل بأقل قدر
القيمة تُقاس بجودة الدليل لا بعنف الأداة. كل خطوة زائدة هي خطر لم يطلب منك أحد أن تتحمّله.
احترام المجال المتفق
النطاق ليس اقتراحًا. تجاوزه يدمر الثقة التي تُبنى بها كل عقودك القادمة.
تعليم وتوعية
مهنتك ليست تصيّد تصفيق على منصة، بل تقليل المخاطر فعلًا. علّم وحذّر بدل أن تُرهب أو تتباهى.
لا للهندسة الاجتماعية على الناس
بعض التقنيات تستهدف البشر لا الأنظمة وتترك أثرًا نفسيًا حقيقيًا. حتى داخل نطاق مسموح، اسأل عن الحد الأخلاقي قبل الحد التقني.
إن كان هدفك الحقيقي هو إيذاء أنظمة غيرك أو سلب أموال الناس أو التجسس عليهم، فالأدوات لن تكفيك قانونيًا ولن تحميك تقنيًا. أما إن كان هدفك أن تفهم كيف تُهاجَم الأنظمة لتُصلحها، فهذه الصفحة كلها لك: ابنِ مختبرك، نظّم مسارك، واطلب التصريح عندما يصبح العمل حقيقيًا. وهذا ما يجعل منك محترفًا يُستدعى لتحسين الأمن لا للتحقيق معه.