Rules of Engagement: Πώς Γράφεται και Γιατί

Μάθημα L03 · Module M0 — Ethics & Authorization · Επίπεδο: Foundation
Προαπαιτούμενα: L02 (Νομικό πλαίσιο και εξουσιοδότηση)
Επόμενο: L04 (Career context) → M1
Παράγει: το τεκμήριο αποφοίτησης L0
Κατάσταση: draft — δεν έχει δημοσιευτεί

Γιατί υπάρχει αυτό το μάθημα

Το L02 απάντησε στο ερώτημα πότε επιτρέπεται να ελέγξεις ένα σύστημα. Αυτό το μάθημα
απαντά στο επόμενο: πώς το γράφεις, ώστε να ισχύει και για τους δύο.

Οι Κανόνες Εμπλοκής — Rules of Engagement, RoE — είναι το έγγραφο που μετατρέπει μια προφορική
συμφωνία σε λειτουργικό όριο. Χωρίς αυτό, «έχω άδεια» σημαίνει ό,τι θυμάται ο καθένας τρεις
μήνες μετά.

Είναι επίσης το μόνο έγγραφο της ανάθεσης που γράφεται για να προστατεύσει εσένα. Η
αναφορά προστατεύει τον πελάτη. Τα τεκμήρια προστατεύουν το εύρημα. Το RoE είναι η απόδειξη
ότι ό,τι έκανες, το έκανες με άδεια — και ότι ό,τι δεν έκανες, δεν το έκανες επειδή δεν είχες.

Στην Ακαδημία, ένας εκπαιδευόμενος που δεν μπορεί να γράψει RoE δεν προχωράει στο πρακτικό
μέρος. Η ικανότητα αξιολογείται πριν από κάθε τεχνική δεξιότητα, όχι μετά.

Μαθησιακοί στόχοι

Μετά από αυτό το μάθημα, ο εκπαιδευόμενος μπορεί να:

1. Ελέγχει αν ο εξουσιοδοτών έχει δικαίωμα να παραχωρήσει την εξουσιοδότηση
2. Ορίζει εύρος ρητά και προς τις δύο κατευθύνσεις — τι είναι εντός και τι εκτός
3. Γράφει εκτελέσιμες συνθήκες διακοπής, όχι ευχολόγια
4. Προβλέπει διαδικασία για την αμφιβολία, πριν προκύψει
5. Αναγνωρίζει RoE που θα τον εξέθετε, και αρνείται να το υπογράψει

1. Η ερώτηση που παραλείπεται

Οι περισσότεροι αρχάριοι ξεκινούν το RoE από το εύρος. Λάθος σημείο.

Ξεκινά από: έχει αυτός ο άνθρωπος δικαίωμα να μου δώσει αυτή την άδεια;

Η υπογραφή δεν είναι εξουσιοδότηση. Είναι ισχυρισμός εξουσιοδότησης. Τρεις συνηθισμένες
περιπτώσεις όπου ο ισχυρισμός δεν στέκει:

• Ο πελάτης δεν κατέχει το σύστημα. Φιλοξενείται σε τρίτο πάροχο, ή είναι SaaS. Ο πάροχος
  —όχι ο πελάτης σου— ελέγχει την υποδομή, και συχνά απαιτεί δική του έγκριση.
• Ο εξουσιοδοτών δεν έχει αρμοδιότητα. Ένας τεχνικός υπεύθυνος μπορεί να θέλει τον έλεγχο·
  αυτό δεν σημαίνει ότι μπορεί να δεσμεύσει τον οργανισμό.
• Το σύστημα είναι κοινό. Πολυμισθωτικό περιβάλλον, κοινή διεύθυνση IP, κοινή υποδομή. Ο
  έλεγχος αγγίζει δεδομένα τρίτων που δεν συναίνεσαν ποτέ.

Αν η απάντηση είναι ΟΧΙ ή ΑΓΝΩΣΤΟ, η αξιολόγηση δεν ξεκινά. Δεν είναι διαπραγματεύσιμο,
και δεν λύνεται με «ο πελάτης ανέλαβε την ευθύνη» — η ευθύνη δεν μεταβιβάζεται με πρόταση σε
email.

2. Το εύρος γράφεται και προς τις δύο κατευθύνσεις

Ένα RoE που λέει μόνο τι είναι εντός είναι μισό.

Ο λόγος είναι ότι το εύρος δεν διαβάζεται τη στιγμή της υπογραφής. Διαβάζεται στις 02:30, όταν
έχεις βρει κάτι ενδιαφέρον και αναρωτιέσαι αν επιτρέπεται να το ακολουθήσεις. Εκείνη τη στιγμή,
η σιωπή του εγγράφου δεν λειτουργεί υπέρ σου.

Ο κανόνας που πρέπει να γράφεται ρητά:

Ό,τι δεν αναφέρεται ρητά ως εντός εύρους, είναι εκτός.

Αυτό είναι το ίδιο deny-by-default που η πλατφόρμα επιβάλλει στο δίκτυο. Εδώ διδάσκεται με
λόγια πριν το συναντήσεις ως έλεγχο.

Στο «εκτός εύρους» ανήκουν επίσης πράγματα που ο πελάτης θεωρεί προφανή και εσύ όχι — και το
αντίστροφο. Γράψε τα υποδίκτυα, τα domains, τα περιβάλλοντα (παραγωγή/δοκιμών), τους τρίτους
παρόχους, και οτιδήποτε βρίσκεται στην ίδια υποδομή αλλά ανήκει αλλού.

3. Συνθήκες διακοπής που εκτελούνται

Το πιο συχνά κακογραμμένο πεδίο. Τυπική διατύπωση:

«Σε περίπτωση που κάτι πάει στραβά, ο ανάδοχος θα ενημερώσει τον πελάτη.»

Δεν σημαίνει τίποτα. Ποιος αποφασίζει τι είναι «στραβά»; Πόσο γρήγορα; Σταματάς ενώ περιμένεις;

Μια εκτελέσιμη συνθήκη διακοπής έχει τρία μέρη: ένα παρατηρήσιμο γεγονός, μια ενέργεια,
έναν χρόνο.

Η τελευταία αξίζει προσοχή. Ένας pentester που συνεχίζει αφού διαπίστωσε ότι κάποιος άλλος
είναι ήδη μέσα, αλλοιώνει σκηνή περιστατικού.

4. Η διαδικασία για την αμφιβολία

Κανένα RoE δεν προβλέπει τα πάντα. Το καλό RoE το παραδέχεται και ορίζει τι γίνεται τότε.

Ένα πεδίο, δύο γραμμές: ποιον ρωτάς, και τι κάνεις όσο περιμένεις.

Η δεύτερη είναι που λείπει συνήθως, και είναι η σημαντική. Η προεπιλογή πρέπει να είναι
σταματάς — όχι «συνεχίζεις με προσοχή». Η «προσοχή» δεν είναι κατάσταση που μπορεί να
ελεγχθεί εκ των υστέρων.

5. Απαγορευμένες ενέργειες: γράψε και τις προφανείς

Υπάρχει πειρασμός να παραλείψεις τα αυτονόητα. Μην τον ακολουθήσεις — «αυτονόητο» σημαίνει
διαφορετικά πράγματα σε εσένα και στον πελάτη.

Ένας ελάχιστος πυρήνας για έλεγχο χωρίς καταστροφικές ενέργειες:

• Επιθέσεις άρνησης υπηρεσίας ή εξάντλησης πόρων
• Τροποποίηση ή διαγραφή δεδομένων στον στόχο
• Εγκατάσταση μόνιμης πρόσβασης
• Χρήση του στόχου ως αφετηρία προς οποιονδήποτε τρίτο
• Εξαγωγή πραγματικών προσωπικών δεδομένων (βλ. L24 §4)
• Κοινωνική μηχανική σε υπαλλήλους, εκτός αν συμφωνηθεί χωριστά και ρητά

Το τελευταίο είναι ξεχωριστή κατηγορία: στοχεύει ανθρώπους, όχι συστήματα, και απαιτεί
διαφορετική συζήτηση για συναίνεση και ψυχολογική επίπτωση.

6. Ένα πραγματικό παράδειγμα ανεπαρκών όρων

Η ίδια η Ακαδημία δημοσίευε εργαστήριο με τους εξής όρους — ολόκληρους:

«Παρακαλούμε να περιοριστείτε στις δραστηριότητες hacking μόνο σε αυτό το περιβάλλον. Το
περιβάλλον είναι διαθέσιμο μόνο για εκπαιδευτικούς σκοπούς. Απαγορεύεται η εκμετάλλευση
αυτών των γνώσεων για κακόβουλους σκοπούς.»

Δηλώνουν πρόθεση, που δεν είναι μηδέν. Δεν δηλώνουν τίποτα λειτουργικό:

Το κρίσιμο είναι το δεύτερο. Χωρίς ρητή εξαίρεση, «το περιβάλλον της Ακαδημίας» εύλογα
διαβάζεται ως να περιλαμβάνει τον ιστότοπο στον οποίο ο εκπαιδευόμενος είναι συνδεδεμένος.

Το βελτιωμένο κείμενο για το ίδιο εργαστήριο υπάρχει στην τεκμηρίωση της πλατφόρμας και
ακολουθεί ακριβώς τη δομή αυτού του μαθήματος.

7. Το πρότυπο

Χρησιμοποιείται το κανονικό πρότυπο RoE των artifacts αξιολόγησης — δέκα ενότητες:

1. Στοιχεία ανάθεσης (με τον έλεγχο δικαιώματος της §1)
2. Εύρος — εντός, εκτός, τι γίνεται σε αμφιβολία
3. Χρονικό παράθυρο
4. Επιτρεπόμενες ενέργειες
5. Απαγορευμένες ενέργειες
6. Επικοινωνία και κλιμάκωση
7. Συνθήκες άμεσης διακοπής
8. Δεδομένα και εμπιστευτικότητα
9. Παραδοτέα
10. Υπογραφές

Ένα πρότυπο, όχι δύο. Το μάθημα διδάσκει το ίδιο έντυπο που χρησιμοποιεί ο βαθμολογητής.
Αν αποκλίνουν, η αξιολόγηση γίνεται αυθαίρετη — το ίδιο λάθος που διορθώθηκε στο
EVIDENCE-TEMPLATE v1 του L24.

8. Πώς βαθμολογείται

Άμεση αποτυχία: RoE που θα επέτρεπε έλεγχο συστήματος το οποίο ο εξουσιοδοτών δεν κατέχει.
Δεν βαθμολογείται με μονάδες — απορρίπτεται.

9. Άσκηση — παράγει το τεκμήριο αποφοίτησης L0

✅ Γράψιμο. Καμία τεχνική υποδομή.

Δίνεται σενάριο: μια εταιρεία ζητά εξωτερική αξιολόγηση. Το σενάριο περιέχει σκόπιμα τρία
προβλήματα — μια διεύθυνση που δεν της ανήκει, έναν εξουσιοδοτούντα χωρίς σαφή αρμοδιότητα, και
ένα αίτημα που θα απαιτούσε κοινωνική μηχανική χωρίς να το ονομάζει.

1. Συμπλήρωσε το πρότυπο της §7.
2. Εντόπισε και τα τρία προβλήματα και γράψε τι θα ζητούσες πριν προχωρήσεις.
3. Γράψε τρεις εκτελέσιμες συνθήκες διακοπής με το σχήμα γεγονός → ενέργεια → χρόνος.
4. Δώσε το σε συνάδελφο και ζήτησέ του να βρει μια ενέργεια που το RoE σου δεν απαγορεύει
   ρητά αλλά δεν θα ήθελες να επιτρέψεις.

Το βήμα 4 είναι η άσκηση. Θα βρει κάτι. Πάντα βρίσκει κάτι — και αυτό είναι το μάθημα: το
εύρος δεν κλείνει με απαρίθμηση, κλείνει με τον κανόνα deny-by-default της §2.

10. Αξιολόγηση

Εξετάζεται στο FA-PILOT-1 Μέρος Β (Απόφαση εύρους) — 30% της τελικής εξέτασης, με δικό
του κατώφλι επιτυχίας 60% ανεξαρτήτως συνολικού βαθμού.

Δίνεται σενάριο όπου ο πελάτης ζητά κάτι εκτός εύρους — εύλογα, ευγενικά, και με εμπορική
πίεση. Ζητείται τι θα έκανες, γιατί, τι θα του έλεγες, και τι θα έπρεπε να αλλάξει για να
γίνει επιτρεπτό.

Άμεση αποτυχία ολόκληρης της εξέτασης: αν προχωρήσεις με το αίτημα, όσο καλά κι αν το
αιτιολογήσεις.

Μεταδεδομένα τεκμηρίωσης

Εκκρεμεί πριν τη δημοσίευση:
– Νομικός έλεγχος από δικηγόρο, από κοινού με το L02. Αυτό το μάθημα διδάσκει τη
δομή ενός εγγράφου με νομικές συνέπειες· δεν διατυπώνει νομικούς ισχυρισμούς και δεν πρέπει
να αποκτήσει κανέναν χωρίς έλεγχο.
– Συγγραφή του σεναρίου της §9 με τα τρία εμφυτευμένα προβλήματα, και του υποδείγματος
απάντησης για τον βαθμολογητή.
– Επιβεβαίωση ότι το πρότυπο της §7 παραμένει ταυτόσημο με εκείνο των artifacts αξιολόγησης.
– Το παράδειγμα της §6 να επικαιροποιηθεί αν αλλάξουν οι όροι του εργαστηρίου.