Cosè un hacker etico?

È facile avere la semplice visione che tutti gli hacker sono cattivi che causano violazioni dei dati e distribuiscono ransomware. Questo non è vero, però. Ci sono un sacco di hacker cattivi là fuori. Alcuni hacker usano le loro abilità in modo etico e legale. Un "hacker etico" è un hacker che hackera nell'ambito di un accordo legale con il legittimo proprietario del sistema.

Suggerimento: come l'opposto di un hacker black hat , un hacker etico viene spesso definito un hacker white hat.

Il nucleo di questo è la comprensione di ciò che rende l'hacking illegale. Sebbene esistano variazioni in tutto il mondo, la maggior parte delle leggi sull'hacking si riduce a "è illegale accedere a un sistema se non si dispone dell'autorizzazione per farlo". Il concetto è semplice. Le effettive azioni di hacking non sono illegali; lo fa solo senza permesso. Ma ciò significa che il permesso può essere concesso per consentirti di fare qualcosa che altrimenti sarebbe illegale.

Questa autorizzazione non può provenire da qualsiasi persona a caso per strada o online. Non può nemmeno provenire dal governo ( sebbene le agenzie di intelligence operino secondo regole leggermente diverse ). L'autorizzazione deve essere concessa dal legittimo proprietario del sistema.

Suggerimento: per essere chiari, "proprietario legittimo del sistema" non si riferisce necessariamente alla persona che ha acquistato il sistema. Si riferisce a qualcuno che ha legittimamente la responsabilità legale di dire; questo va bene per te. In genere questo sarà il CISO, il CEO o il consiglio di amministrazione, sebbene la capacità di concedere l'autorizzazione possa essere delegata anche più in basso nella catena.

Sebbene il permesso possa essere dato semplicemente verbalmente, questo non viene mai fatto. Poiché la persona o l'azienda che esegue il test sarebbe legalmente responsabile per testare ciò che non dovrebbe, è richiesto un contratto scritto.

Ambito di azione

L'importanza del contratto non può essere sopravvalutata. È l'unica cosa che garantisce legalità alle azioni di hacking dell'hacker etico. La concessione del contratto dà un indennizzo per le azioni specificate ea fronte degli obiettivi specificati. Pertanto, è essenziale comprendere il contratto e ciò che copre, poiché uscire dall'ambito del contratto significa uscire dall'ambito della garanzia legale e violare la legge.

Se un hacker etico si allontana dall'ambito del contratto, sta correndo sul filo del rasoio legale. Tutto ciò che fanno è tecnicamente illegale. In molti casi, un tale passo sarebbe accidentale e rapidamente auto-preso. Se gestito in modo appropriato, questo potrebbe non essere necessariamente un problema, ma a seconda della situazione, potrebbe certamente esserlo.

Il contratto offerto non deve essere necessariamente personalizzato. Alcune aziende offrono uno schema di bug bounty. Ciò comporta la pubblicazione di un contratto aperto, che consente a chiunque di tentare di hackerare eticamente il proprio sistema, purché rispetti le regole specificate e segnali qualsiasi problema che identifica. I problemi di segnalazione, in questo caso, vengono generalmente ricompensati finanziariamente.

Tipi di hacking etico

La forma standard di hacking etico è il "penetration test" o pentest. È qui che uno o più hacker etici sono coinvolti per tentare di penetrare le difese di sicurezza di un sistema. Una volta completato il coinvolgimento, gli hacker etici, chiamati pentester in questo ruolo, riportano le loro scoperte al cliente. Il cliente può utilizzare i dettagli nel report per correggere le vulnerabilità identificate. Sebbene sia possibile svolgere lavori individuali ea contratto, molti pentester sono risorse aziendali interne o vengono assunte ditte specializzate in pentesting.

Suggerimento: è "pentesting" non "pen testing". Un tester di penetrazione non testa le penne.

In alcuni casi, verificare se una o più applicazioni o reti sono sicure non è sufficiente. In questo caso, possono essere eseguiti test più approfonditi. Un coinvolgimento di una squadra rossa in genere comporta il test di una gamma molto più ampia di misure di sicurezza. Le azioni possono includere l'esecuzione di esercizi di phishing contro i dipendenti, tentativi di ingegneria sociale per entrare in un edificio o persino irruzione fisica. Sebbene ogni esercizio della squadra rossa vari, il concetto è in genere molto più di un test "e se" nel caso peggiore . Sulla falsariga di "questa applicazione web è sicura, ma cosa succede se qualcuno entra nella stanza del server e prende il disco rigido con tutti i dati al suo interno".

Praticamente qualsiasi problema di sicurezza che potrebbe essere utilizzato per danneggiare un'azienda o un sistema è teoricamente aperto all'hacking etico. Ciò presuppone tuttavia che il proprietario del sistema conceda l'autorizzazione e che sia disposto a pagarla.

Dare cose ai cattivi?

Gli hacker etici scrivono, usano e condividono strumenti di hacking per semplificarsi la vita. È giusto mettere in discussione l'etica di questo, poiché i cappelli neri potrebbero cooptare questi strumenti per provocare più caos. Realisticamente, però, è perfettamente ragionevole presumere che gli aggressori abbiano già questi strumenti, o almeno qualcosa di simile, mentre cercano di semplificarsi la vita. Non avere strumenti e cercare di rendere le cose più difficili per i cappelli neri significa fare affidamento sulla sicurezza attraverso l'oscurità. Questo concetto è profondamente disapprovato nella crittografia e nella maggior parte del mondo della sicurezza in generale.

Divulgazione responsabile

Un hacker etico a volte può imbattersi in una vulnerabilità durante la navigazione in un sito Web o l'utilizzo di un prodotto. In questo caso, in genere cercano di segnalarlo in modo responsabile al legittimo proprietario del sistema. La cosa fondamentale dopo è come viene gestita la situazione. La cosa etica da fare è rivelarlo privatamente al legittimo proprietario del sistema per consentire loro di risolvere il problema e distribuire una patch software.

Naturalmente, qualsiasi hacker etico è anche responsabile di informare gli utenti interessati da tale vulnerabilità in modo che possano scegliere di prendere le proprie decisioni attente alla sicurezza. In genere, un intervallo di tempo di 90 giorni dalla divulgazione privata è considerato un periodo di tempo appropriato per sviluppare e pubblicare una correzione. Mentre le estensioni possono essere concesse se è necessario un po' più di tempo, questo non è necessariamente fatto.

Anche se non è disponibile una correzione, può essere etico descrivere pubblicamente il problema. Ciò, tuttavia, presuppone che l'hacker etico abbia cercato di divulgare il problema in modo responsabile e, in generale, che stia cercando di informare gli utenti normali in modo che possano proteggersi. Sebbene alcune vulnerabilità possano essere dettagliate con exploit di prova funzionanti, spesso ciò non viene fatto se non è ancora disponibile una correzione.

Anche se questo potrebbe non sembrare del tutto etico, in definitiva, avvantaggia l'utente. In uno scenario, l'azienda è sotto pressione sufficiente per fornire una soluzione tempestiva. Gli utenti possono eseguire l'aggiornamento a una versione fissa o almeno implementare una soluzione alternativa. L'alternativa è che l'azienda non può implementare tempestivamente una correzione per un grave problema di sicurezza. In questo caso, l'utente può prendere una decisione informata sul continuare a utilizzare il prodotto.

Conclusione

Un hacker etico è un hacker che agisce entro i limiti della legge. In genere vengono concesse o altrimenti concesse autorizzazioni dal legittimo proprietario del sistema per hackerare un sistema. Questo viene fatto a condizione che l'hacker etico riferisca responsabilmente i problemi identificati al legittimo proprietario del sistema in modo che possano essere risolti. L'hacking etico si basa su "imposta un ladro per catturare un ladro". Utilizzando la conoscenza degli hacker etici, puoi risolvere i problemi che gli hacker black hat avrebbero potuto sfruttare. Gli hacker etici sono anche indicati come hacker dal cappello bianco. Altri termini possono anche essere usati in determinate circostanze, come "pentesters" per l'assunzione di professionisti.