Co to jest szary kapelusz?

Prawo wydaje się być bardzo czarno-białe, jeśli chodzi o legalność rzeczy takich jak hakowanie. Albo coś jest – albo nie jest – przestępstwem. Etyka może być jednak znacznie bardziej zniuansowana. Chociaż etyka czegoś może być brana pod uwagę w środowisku przestępczym, albo przy braku egzekwowania, albo przy łagodniejszych wyrokach, nie jest to w żaden sposób gwarantowane.

Termin haker w szarym kapeluszu odnosi się do hakerów, którzy chodzą po linie. Często ich działania są nielegalne, ale mają jakieś etyczne uzasadnienie lub ramy. Technicznie obejmuje to również tych, którzy działają legalnie, ale nieetycznie. Ta grupa jest jednak znacznie mniejsza niż pierwsza.

Problem z hakerami w czarnych kapeluszach polega na tym, że prześladują niewinnych ludzi, po prostu zajmując się ich życiem. Nie ma znaczenia, czy jesteś szpitalem z pacjentami, których życie wisi na włosku, czy krytyczną infrastrukturą krajową, elektrownią jądrową lub odpowiadasz za emerytury milionów ludzi. Każdy jest dla nich akceptowalny jako ofiara, ponieważ zazwyczaj ich celem jest przyniesienie sobie korzyści.

Modus operandi hakerów w szarych kapeluszach jest różny, ale często stosują oni nielegalne działania, próbując jednocześnie zminimalizować szkody, jakie powodują. Zwykle przybiera to formę zachowania się jak biały kapelusz , identyfikowania słabych punktów i odpowiedzialnego ich ujawniania, ale krytycznego robienia tego bez pozwolenia.

Motywacje

Szary kapelusz jest zwykle motywowany podobnie jak haker w białym kapeluszu. Chcą ujawnić problemy, aby odpowiedzialnie poprawić bezpieczeństwo użytkownika. Na ogół jednak uważają system prawny za zbyt restrykcyjny i działają bez pozwolenia. W kilku przypadkach dzieje się tak, ponieważ nie podjęto żadnych działań, gdy zastosowano odpowiednią procedurę, lub dlatego, że włamywali się dla zabawy.

Wielu wczesnych hakerów komputerowych było motywowanych próbą sprawdzenia, co można zrobić. W wielu przypadkach ci hakerzy nie zrobili nic złośliwego. Technicznie rzecz biorąc, patrzyli na dane, ale nie było czarnych rynków, na których można by je sprzedać. Standardową praktyką tych hakerów było „podkładanie flagi”, sygnalizujące, że tam byli, a następnie zatrzymywanie się i ruszanie dalej. Często flaga byłaby czymś prostym, jak plik tekstowy z napisem „X był tutaj”. Byłoby to z pewnością nielegalne w czasach nowożytnych, ale obowiązujące przepisy wtedy nie istniały. Ci hakerzy zazwyczaj robili to dla zabawy i generalnie nie wyrządzali większych szkód. Jako takie można je nazwać szarymi kapeluszami, choć równie dobrze można by je nazwać czarnymi kapeluszami.

Czasami, gdy etyczny haker próbuje zgłosić napotkaną lukę w zabezpieczeniach, spotyka się z milczeniem, odrzuceniem lub niedowierzaniem. To pozostawia etycznego hakera w rozterce. Czy zachowujesz wszystko w tajemnicy i masz nadzieję, że żaden haker w czarnym kapeluszu nie zauważy luki, czy też publikujesz szczegóły, aby umożliwić potencjalnym ofiarom rezygnację z korzystania z niezabezpieczonego systemu, jednocześnie informując czarne kapelusze o problemie? To trudny wybór i wyzwanie etyczne.

Przykłady ze świata rzeczywistego

W 2013 roku Khalil Shreateh, badacz bezpieczeństwa, odkrył lukę w zabezpieczeniach, która umożliwiła jednemu użytkownikowi Facebooka publikowanie postów jako inny użytkownik. Próbował odpowiednio ujawnić problem za pośrednictwem programu nagród za błędy na Facebooku. Problem został jednak odrzucony jako „to nie jest błąd”. Sfrustrowany i świadomy potencjalnego wykorzystania takiego problemu w czarnych kapeluszach, postanowił wykorzystać ten problem w bardzo zauważalny sposób.

Wpływając na stronę Marka Zuckerberga na Facebooku, ograniczył skutki swoich działań, jednocześnie jasno stwierdzając, jak dużym problemem jest ta luka. Facebook szybko naprawił problem. Nie zapłacił żadnej nagrody za błąd, ponieważ Khalil przekroczył ograniczenia programu. Nie próbował również wnosić zarzutów. To doskonały przykład hakera decydującego, że cel uświęca środki, mimo że środki były nielegalne.

W 2000 roku dwóch hakerów, „{}” i „Hardbeat”, włamało się na stronę internetową serwera Apache. Gdyby byli czarnymi kapeluszami, mogliby po cichu skonfigurować złośliwe pobieranie zamiast legalnych. Każdy użytkownik, który miał pecha zainstalować serwer WWW przed wykryciem włamania, zostałby dotknięty. Zamiast tego „tylko” zniszczyli witrynę, wymieniając niektóre obrazy. Działania nie zaszkodziły żadnym użytkownikom i doprowadziły do ​​​​bezpośredniego dialogu, w wyniku którego problem został naprawiony. Ponownie działania były nielegalne, ale w czyichś rękach sytuacja mogła być dużo gorsza.

Wybór „zasłużonej” ofiary

W niektórych przypadkach hakerzy w szarych kapeluszach aktywnie atakują grupy, którym się sprzeciwiają. Często obiekcje te są silne i szanowane przez ogół społeczeństwa. Nie chodzi tylko o grupy polityczne, z którymi się nie zgadzasz. Zwykle są to grupy wspierające terroryzm, represyjne reżimy, organizacje przestępcze lub kręgi pedofilów. Ponownie, wszystkie te działania są nielegalne, ale szary kapelusz wybiera swoje cele w oparciu o ramy moralne, które są zazwyczaj społecznie akceptowalne. Mają nadzieję, że ich wysiłki pomogą chronić ludzi.

Szary kapelusz, który działa na tej zasadzie, może również uważać się za postać podobną do Robin Hooda. Mogą nawet potraktować to porównanie bardzo dosłownie, ukraść pieniądze wybranym „zasłużonym” ofiarom, a następnie przekazać je na określony przez siebie szczytny cel. Cała ta koncepcja jest wysoce subiektywna. Niektórzy ludzie mogą zgodzić się, że działania, choć nielegalne, są etyczne, podczas gdy inni mogą nie.

Wniosek

Szary kapelusz to haker, którego działania i motywacje mieszczą się gdzieś pomiędzy hakerem w czarnym i białym kapeluszu. Zazwyczaj działają w myśl zasady, że cel uświęca środki. Rozwiązują luki w zabezpieczeniach, ale zazwyczaj łamią przy okazji prawo. Ta czynność odróżnia ich od białych kapeluszy.

Troska o zminimalizowanie skutków dla ofiar lub, w niektórych przypadkach, o wybranie „zasłużonych” ofiar, odróżnia ich od czarnych kapeluszy. Niezbędne jest zrozumienie, że pomimo tego, że działania szarego kapelusza są etycznie uzasadnione, przynajmniej do pewnego stopnia, wiele jurysdykcji nie weźmie tego pod uwagę, jeśli i kiedy działania te staną przed sądem.