Cosè un cappello grigio?

La legge tende ad essere molto in bianco e nero quando si tratta della legalità di cose come l'hacking. O qualcosa è – o non è – un crimine. L'etica, tuttavia, può essere molto più sfumata. Sebbene l'etica di qualcosa possa essere presa in considerazione in un contesto criminale, sia con la mancanza di applicazione che con condanne più morbide, ciò non è garantito in alcun modo.

Il termine hacker dal cappello grigio si riferisce agli hacker che camminano sul filo del rasoio. Spesso le loro azioni sono illegali, ma hanno qualche giustificazione o quadro etico. Tecnicamente, copre anche coloro che agiscono legalmente ma non eticamente. Quel gruppo, tuttavia, è molto più piccolo del primo.

Il problema con gli hacker black hat è che vittimizzano persone innocenti, semplicemente vivendo le loro vite. Non importa se sei un ospedale con pazienti le cui vite sono in bilico se sei un'infrastruttura nazionale critica, un impianto nucleare o responsabile delle pensioni di milioni di persone. Chiunque è accettabile come vittima per loro perché il loro obiettivo è, in genere, avvantaggiare se stessi.

Il modus operandi degli hacker dal cappello grigio varia, ma spesso usano atti illegali mentre tentano di ridurre al minimo il danno causato dalle loro azioni. Questo in genere assume la forma di agire come un cappello bianco , identificando le vulnerabilità e rivelandole responsabilmente, ma facendolo in modo critico senza permesso.

Motivazioni

Un cappello grigio è tipicamente motivato in modo simile a un hacker cappello bianco. Vogliono divulgare i problemi per migliorare la sicurezza per l'utente in modo responsabile. Generalmente, tuttavia, trovano il sistema legale troppo restrittivo e agiscono senza permesso. In molti casi, questo viene fatto perché non c'è stata alcuna azione quando è stata seguita la procedura corretta o perché stavano hackerando per divertimento.

Molti dei primi pirati informatici erano motivati ​​dal tentativo di vedere cosa si poteva fare. In molti casi, questi hacker non hanno fatto nulla di dannoso. Tecnicamente, avrebbero guardato i dati, ma non c'erano mercati neri su cui venderli. Era pratica standard per questi hacker "piantare una bandiera", segnalando che erano stati lì e poi fermarsi e andare avanti. Spesso la bandiera sarebbe qualcosa di semplice come un file di testo che dice "X era qui". Questo sarebbe certamente illegale nei tempi moderni, ma allora le leggi applicabili non esistevano. Questi hacker in genere lo facevano per divertimento e generalmente non facevano molto male. In quanto tali, potrebbero essere chiamati cappelli grigi, anche se potrebbero anche essere chiamati cappelli neri.

A volte, quando un hacker etico tenta di segnalare una vulnerabilità di sicurezza in cui si è imbattuto, viene accolto con silenzio, licenziamento o incredulità. Questo poi lascia l'hacker etico in imbarazzo. Mantieni tutto segreto e speri che nessun hacker black hat si accorga del difetto, oppure pubblichi i dettagli per consentire alle potenziali vittime di scegliere di non utilizzare il sistema insicuro informando allo stesso tempo i black hat del problema? È una scelta difficile ed eticamente impegnativa.

Esempi del mondo reale

Nel 2013, Khalil Shreateh, un ricercatore di sicurezza, ha scoperto una vulnerabilità che consentiva a un utente di Facebook di postare come un altro utente. Aveva tentato di divulgare adeguatamente il problema attraverso il programma bug bounty di Facebook. Il problema, tuttavia, è stato rifiutato come "non un bug". Frustrato e consapevole del potenziale utilizzo di tale problema per i cappelli neri, ha scelto di sfruttare questo problema in modo molto evidente.

Colpendo la pagina Facebook di Mark Zuckerberg, ha limitato le ricadute delle sue azioni affermando chiaramente quanto fosse un problema la vulnerabilità. Facebook ha quindi risolto rapidamente il problema. Non ha pagato alcuna taglia di bug, poiché Khalil aveva superato le restrizioni del programma. Inoltre, non ha tentato di sporgere denuncia. Questo è un eccellente esempio dell'hacker che decide che i fini giustificano i mezzi, anche se i mezzi erano illegali.

Nel 2000, due hacker, "{}" e "Hardbeat", hanno violato il sito Web del server Web Apache. Se fossero cappelli neri, avrebbero potuto impostare tranquillamente download dannosi al posto di quelli legittimi. Qualsiasi utente abbastanza sfortunato da installare il server Web prima che l'hacking fosse scoperto ne sarebbe stato colpito. Invece, hanno "soltanto" deturpato il sito web, scambiando alcune immagini. Le azioni non hanno danneggiato alcun utente e hanno portato a un dialogo diretto, con conseguente risoluzione del problema. Ancora una volta, le azioni erano illegali, ma nelle mani di qualcun altro la situazione avrebbe potuto essere molto peggiore.

La scelta di una vittima "meritevole".

In alcuni casi, gli hacker dal cappello grigio prendono di mira attivamente i gruppi a cui si oppongono. Spesso queste obiezioni sono potenti e rispettate dalla società in generale. Non sono solo i gruppi politici con cui non sei d'accordo. Tende ad essere cose come gruppi che sostengono il terrorismo, regimi repressivi, organizzazioni criminali o circoli pedofili. Ancora una volta, tutte queste azioni sono illegali, ma il cappello grigio sceglie i suoi obiettivi sulla base di un quadro morale tipicamente socialmente accettabile. Sperano che i loro sforzi aiutino a proteggere le persone.

Un cappello grigio che funziona secondo questo principio può anche considerarsi una sorta di figura simile a Robin Hood. Possono persino prendere questo paragone molto alla lettera, rubare denaro alle vittime "meritevoli" scelte e poi darlo a una buona causa autodefinita. L'intero concetto è altamente soggettivo. Alcune persone potrebbero concordare sul fatto che le azioni, sebbene illegali, siano etiche, mentre altre no.

Conclusione

Un cappello grigio è un hacker le cui azioni e motivazioni cadono da qualche parte tra un hacker cappello nero e un cappello bianco. Tipicamente, operano in base al principio che i fini giustificano i mezzi. Risolvono le vulnerabilità della sicurezza, ma in genere infrangono la legge nel farlo. Questa azione li differenzia dai cappelli bianchi.

La cura di ridurre al minimo le ricadute sulle vittime, o in alcuni casi di scegliere vittime "meritevoli", li separa dai cappelli neri. È essenziale capire che nonostante le azioni di un cappello grigio siano eticamente giustificabili, almeno in una certa misura, molte giurisdizioni non lo prenderanno in considerazione se e quando le azioni verranno processate.