Lecture Note Professional practices in information technology - Lecture No. 21: Computer Security Ethics

Lecture Note Professional practices in information technology - Lecture No. 21: Computer Security Ethics. After studying this chapter you will be able to understand: Hackers’ code of ethics, new(er) hacker ethics, security threats, ethical issues in security courses.

Professional Practices in Information Technology CSC 110 ProfessionalPracticesin  Information Technology HandBook COMSATS Institute of Information  Technology (Virtual Campus) Islamabad, Pakistan Professional Practices in Information Technology CSC 110 Lecture 21 Computer Security Ethics  21.1 Introduction Being ethical is not necessarily following one’s feelings; “feelings frequently deviate from what  is ethical“. Often because of the way one is raised, ethics and religion are coupled; but ethics is  not confined to religion nor is the same as religion. Being ethical is not solely following the law Elements of practical ethics through basic philosophy: – Ethical thought – Ethical definition – Ethical values Example:   “If   a   person   conceives   of   engineering   activity   as   only   making   money,   then   one's  definition of practical ethics, one's actions and values will, be guided by this basic philosophical  position. “  Security in: – Client / Workstation / Terminal – Intra­networks  – Inter­networks In terms of: – Physical Security Professional Practices in Information Technology CSC 110 – Non­Physical Security Security Threats (sources, causes, people behind): – Hackers – Crackers – Script Kiddies – Unethical Employees (logic bombs, backdoor,…) – Cyberterrorists – Corporate Spy – Worm / Virus / Trojan (incl. keyloggers,…) – Spoofing / Sniffing / Phishing – DoS / DDoS attacks Examples: Professional Practices in Information Technology CSC 110 Example of Phishing: Professional Practices in Information Technology CSC 110 21.2 Hackers’ Code of Ethics: Hacker creed (Steven Levy’s “Hackers: Heroes of Computer Revolution” ­ 1984 ): – Access to computers should be unlimited and total.  – Always yield to the Hands­On Imperative  – All information should be free.  – Mistrust authority ­­ promote decentralization.  – Hackers should be judged by their hacking.  – You can create art and beauty on a computer.  – Computers can change your life for the better.  Professional Practices in Information Technology CSC 110 New Code of Ethics (90s) ­ Steven Mizrach : – "Above all else, do no harm" – Protect Privacy – "Waste not, want not." – Exceed Limitations – The Communicational Imperative – Leave No Traces – Share! – Self Defense – Hacking Helps Security – Trust, but Test! In Short : 1) protect data and hardware 2) respect and protect privacy 3) utilize what is being  wasted by others 4) exceed unnecessary restrictions 5) promote peoples' right to communicate 6)  leave   no   traces   7)   share   data   and   software   8)   be   vigilant   against   cyber­tyranny   and   9)   test  security and system integrity of computer systems  New(er) Hacker Ethics: Professional Practices in Information Technology CSC 110 Hackers share and are willing to teach their knowledge.Hackers are skilled. Many are self­taught,  or learn by interacting with other hackers. Hackers seek knowledge. This knowledge may come  from unauthorized or unusual sources, and is often hidden.Hackers like to understand how things  work, and want to make their own improvements or modifications.  Hackers often disagree with authority, including parents, employers, social customs and laws.  They often seek to get around authority they disagree with.Hackers disagree with each other.  Different hackers have different values, and come from all backgrounds. This means that what  one hacker is opposed to might be embraced by another.  Hackers   are   persistent,   and   are   willing   to   devote   hours,   days   and   years   to   pursuing   their  individual passions. This Code is not to prescribe how hackers act. Instead, it is to help us to  recognize our own diversity and identity.  Every hacker must make his or her own decisions about what is right or wrong, and some might  do things they believe are illegal, amoral or anti­social.  Hackers' motivations are their own, and there is no reason for all hackers to agree.Hackers have a  shared identity, however, and many shared interests.By reading this Code, hackers can recognize  themselves and each other, and understand better the group they are a part of  Hackers’ Code of Ethics: – Old code vs new code – Are new hackers aware of the original hacker ethics? – Are new hackers aware of any hacker ethics? – Influence of technology and social issues on changes in hacker ethics – Similarity between the old and new ethics and ethical continuity Professional Practices in Information Technology CSC 110 21.3 Ethical Issues in Security Courses More security subjects are moved from graduate level to undergraduate level; graduate students  are more mature than undergraduate ones. Are security courses’ materials really appropriate?  (Some include: trying DDOS, writing and spreading a virus,…) Major of computer hackers are under the age of 25 and many of them are college students. Using  hacking   tools   in   labs   and   classes   increases   “comfort   level”   with   such   tools    the   more  comfortable people become with one computer technology, the more likely they are to use them There   are   many   justifications   for   teaching   such   sensitive   issues:   to   strengthen   the   nation’s  defense against attacks. But do we need to know the details of how to make a bomb in order to  defend ourselves against bomb attacks? Using password crackers is not necessary to teach the  dangers of using weak and insecure passwords “Students   would   learn   them   on   their   own   anyway   We   are   presenting   this   material   in   a  responsible manner.” The big question is: how to really present this material in a responsible  manner? Requiring students to sign a statement and take an ethical oath? Teaching ethical issues as part of  a course? Problem: ethical standards cannot be integrated in individuals just over a short period  of time! Ethical subjects are necessary especially in computer security curricula. Ethical standards should  be taught to students early in the program and students should be reminded of them throughout  the program.  Students should become aware about the consequences of misuse of their knowledge The problem of “deindividualism” (group size, anonymity) “Deindividualism is a feeling of separation and anonymity that can lead to individuals engaging  in a broader range of unethical behaviors.” “Deindividuation is the psychological state of separation of the individual from others”. It is  often seen in chat rooms and message boards Making students aware that they are trusted with something important encourages them to live  Professional Practices in Information Technology CSC 110 up to that trust Sensitive topics should be taught and discussed at higher levels of a program  ... Spoofing / Sniffing / Phishing – DoS / DDoS attacks Examples: Professional Practices in Information Technology CSC 110 Example of Phishing: Professional Practices in Information Technology CSC 110 21.2 Hackers’ Code of Ethics:.. .Professional Practices in Information Technology CSC 110 Lecture 21 Computer Security Ethics 21.1 Introduction Being ethical is not necessarily following one’s feelings; “feelings frequently deviate from what ... Security in: – Client / Workstation / Terminal – Intra­networks  – Inter­networks In terms of: – Physical Security Professional Practices in Information Technology CSC 110 – Non­Physical Security