Ach ja, und DER darf das jetzt oder wie

Ich als angehender Sicherheitsexperte frage mich, mit welcher
Legitimation HD Moore sich auf diese Systeme schaltet. Zu scannen ist
eine Sache, aber wo hört man als Whitehat auf und wann gilt man als
Blackhat?

Ist es erlaubt, sich auf ein solches System zu schalten, nur weil es
von außen erreichbar und ungeschützt ist? Darf ich mich auf über das
Internet erreichbare Router schalten und Standardpasswörter
ausprobieren, um ein wenig in der Konfig rumzuschnüffeln? Oder darf
ich dann sogar die Konfig verändern?
Wie sind die gesetzlichen Bestimmungen dazu? Was ist definitiv
verboten? Was geht einem als "Spielerei" durch?