灰色の帽子とは何ですか?

ハッキングなどの合法性に関して、法律は白黒はっきりさせる傾向があります。何かが犯罪であるか、そうでないかのどちらかです。ただし、倫理はさらに微妙な場合があります。刑事場面では、強制力がなかったり、刑が緩和されたりするなど、倫理が考慮される場合がありますが、これはいかなる形でも保証されません。

グレイハットハッカーという用語は、この綱渡りをするハッカーを指します。多くの場合、彼らの行動は違法ですが、何らかの倫理的正当性や枠組みがあります。技術的には、合法的だが非倫理的な行為を行う者も対象となります。ただし、そのグループは最初のグループよりもはるかに小さいです。

ブラックハットハッカーの問題は、彼らが無実の人々を犠牲にし、ただ日常を過ごしていることです。あなたが命の危険にさらされている患者を抱える病院であるかどうかは、重要な国家インフラ、原子力施設、あるいは何百万人もの人々の年金を預かる病院であるかどうかは関係ありません。彼らの目的は通常、自分自身の利益になることであるため、誰でも彼らの犠牲者として受け入れられます。

グレイハットハッカーの手口は様々ですが、多くの場合、自らの行為が引き起こす被害を最小限に抑えようとしながら、違法行為を行います。これは通常、ホワイト ハットのように行動し、脆弱性を特定し、責任を持って公開するという形をとりますが、許可なくそれを行うことは批判的です。

動機

グレーハットは通常、ホワイトハットハッカーと同様の動機を持っています。ユーザーのセキュリティを向上させるために責任を持って問題を開示したいと考えています。しかし一般に、彼らは法制度が厳しすぎると感じており、許可なしに行動します。いくつかのケースでは、適切な手順に従ったにもかかわらずアクションがなかったため、または趣味でハッキングを行っていたために、このようなことが行われます。

初期のコンピューターハッカーの多くは、何ができるかを試してみるという動機を持っていました。多くの場合、これらのハッカーは悪意のある行為をしていませんでした。技術的にはデータを調べることになるが、それを販売する闇市場は存在しなかった。これらのハッカーは、自分たちがそこにいたことを示す「旗を立てる」のが標準的で、その後立ち止まって先に進みました。多くの場合、フラグは「X がここにありました」というテキスト ファイルのような単純なものです。これは現代では確かに違法ですが、当時は該当する法律が存在しませんでした。これらのハッカーは通常、楽しみのためにこれを行っており、通常は大きな害を及ぼしませんでした。したがって、それらは灰色の帽子と呼ばれることもできますが、黒い帽子と呼ばれることもできます。

倫理的なハッカーが偶然発見したセキュリティの脆弱性を報告しようとすると、沈黙、無視、または不信感に見舞われることがあります。これにより、倫理的なハッカーは困惑することになります。すべてを秘密にし、ブラックハットハッカーが欠陥に気づかないことを願っていますか、それとも、潜在的な被害者が安全ではないシステムを使用しないことを選択できるように、同時にブラックハットハッカーに問題を知らせるために詳細を公開しますか? それは難しい選択であり、倫理的にも困難です。

実際の例

2013 年、セキュリティ研究者の Khalil Shreateh は、ある Facebook ユーザーが別のユーザーとして投稿できる脆弱性を発見しました。同氏は、Facebook のバグ報奨金プログラムを通じてこの問題を適切に開示しようとしていた。しかし、この問題は「バグではない」として却下されました。彼はこのような問題がブラックハットに悪用される可能性があることに不満を抱き、非常に目立つ方法でこの問題を悪用することを選択しました。

マーク・ザッカーバーグ氏の Facebook ページに影響を与えることで、その脆弱性がどれほどの問題であるかを明確にしながら、自分の行為による影響を制限しました。その後、Facebook はすぐに問題を解決しました。ハリルはプログラムの制限を超えていたため、バグ報奨金は支払われませんでした。また、告訴を強要しようとしたわけでもない。これは、たとえ手段が違法であったとしても、ハッカーが目的は手段を正当化すると判断した好例です。

2000 年、2 人のハッカー「{}」と「Hardbeat」が Apache Web サーバーの Web サイトに侵入しました。彼らがブラックハットであれば、正規のダウンロードの代わりに悪意のあるダウンロードを密かにセットアップすることができたでしょう。運悪くハッキングが発見される前に Web サーバーをインストールしてしまったユーザーは影響を受ける可能性があります。代わりに、彼らはウェブサイトを改ざんし、いくつかの画像を差し替えた「だけ」でした。この行為はユーザーに害を及ぼすものではなく、直接の対話につながり、問題は解決されました。繰り返しになりますが、その行為は違法でしたが、誰かが手を出していれば、状況はさらに悪化していた可能性があります。

「当然の」犠牲者を選ぶ

場合によっては、グレーハットハッカーは、自分たちが反対するグループを積極的にターゲットにします。多くの場合、こうした反対​​意見は強力であり、社会全体から尊重されます。これはあなたが同意しない政治団体だけではありません。テロリズム、抑圧的政権、犯罪組織、小児性愛者団体などを支援するグループが該当する傾向があります。繰り返しますが、これらの行為はすべて違法ですが、グレイハットは、通常は社会的に許容される道徳的枠組みに基づいてターゲットを選択します。彼らは自分たちの努力が人々を守ることに役立つことを望んでいます。

この原則に基づいて機能する灰色の帽子は、自分自身を一種のロビンフッドのような人物であると考えることもできます。彼らはこの比較を文字通りに受け取り、自分たちが選んだ「当然の」被害者から金を盗み、それを自ら定義した大義のために寄付する可能性さえある。この概念全体は非常に主観的なものです。この行為は違法ではあるが倫理的であることに同意する人もいるかもしれませんが、そうでない人もいるかもしれません。

結論

グレイハットは、その行動と動機がブラックハットハッカーとホワイトハットハッカーの中間に位置するハッカーです。通常、それらは目的が手段を正当化するという原則に基づいて機能します。彼らはセキュリティの脆弱性を解決しますが、通常はその過程で法律に違反します。このアクションにより、彼らはホワイトハットと区別されます。

被害者への影響を最小限に抑えるための配慮、場合によっては「ふさわしい」被害者を選ぶという配慮が、彼らをブラックハットから切り離すことになる。グレーハットの行為は少なくともある程度は倫理的に正当化されるにもかかわらず、その行為が裁判になった場合、多くの法域はこれを考慮しないことを理解することが不可欠です。