O que é um chapéu cinza?

A lei tende a ser muito preto no branco quando se trata da legalidade de coisas como hacking. Ou algo é – ou não é – um crime. A ética, no entanto, pode ser muito mais nuançada. Embora a ética de algo possa ser levada em consideração em um cenário criminal, seja com falta de execução ou sentenças mais brandas, isso não é garantido de forma alguma.

O termo hacker de chapéu cinza refere-se a hackers que andam nessa corda bamba. Freqüentemente, suas ações são ilegais, mas têm alguma justificativa ou estrutura ética. Tecnicamente, também abrange aqueles que agem legalmente, mas de forma antiética. Esse grupo, no entanto, é bem menor que o primeiro.

O problema com os hackers de chapéu preto é que eles vitimam pessoas inocentes, apenas cuidando de suas vidas. Não importa se você é um hospital com pacientes cujas vidas estão em risco, se você é uma infraestrutura nacional crítica, uma instalação nuclear ou responsável pelas pensões de milhões de pessoas. Qualquer pessoa é aceitável como vítima para eles porque seu objetivo é, normalmente, beneficiar a si mesmos.

O modus operandi dos hackers de chapéu cinza varia, mas muitas vezes eles usam atos ilegais enquanto tentam minimizar os danos que suas ações causam. Isso normalmente assume a forma de agir como um chapéu branco , identificando vulnerabilidades e divulgando-as com responsabilidade, mas fazendo isso de forma crítica sem permissão.

Motivações

Um chapéu cinza normalmente é motivado de forma semelhante a um hacker de chapéu branco. Eles querem divulgar problemas para melhorar a segurança do usuário de forma responsável. Geralmente, no entanto, eles acham o sistema legal muito restritivo e agem sem permissão. Em vários casos, isso é feito porque não houve ação quando o procedimento adequado foi seguido ou porque eles estavam hackeando para se divertir.

Muitos dos primeiros hackers de computador foram motivados por tentar ver o que poderia ser feito. Em muitos casos, esses hackers não fizeram nada malicioso. Tecnicamente, eles analisariam os dados, mas não havia mercados negros para vendê-los. Era uma prática padrão para esses hackers “plantar uma bandeira”, sinalizando que eles estiveram lá e então parar e seguir em frente. Freqüentemente, a bandeira seria algo simples, como um arquivo de texto dizendo: "X estava aqui". Isso certamente seria ilegal nos tempos modernos, mas as leis aplicáveis ​​não existiam então. Esses hackers normalmente faziam isso por diversão e geralmente não causavam muito dano. Como tal, eles poderiam ser chamados de chapéus cinza, embora também pudessem ser chamados de chapéus pretos.

Às vezes, quando um hacker ético tenta relatar uma vulnerabilidade de segurança que encontrou, ele se depara com silêncio, rejeição ou descrença. Isso deixa o hacker ético em um dilema. Você mantém tudo em segredo e espera que nenhum hacker black hat perceba a falha, ou você publica os detalhes para permitir que vítimas em potencial optem por não usar o sistema inseguro e, ao mesmo tempo, informar os black hats sobre o problema? É uma escolha difícil e eticamente desafiadora.

Exemplos do mundo real

Em 2013, Khalil Shreateh, um pesquisador de segurança, descobriu uma vulnerabilidade que permitia que um usuário do Facebook postasse como outro usuário. Ele tentou divulgar o problema de forma adequada por meio do programa de recompensas de bugs do Facebook. O problema, no entanto, foi rejeitado como "não é um bug". Frustrado e ciente do uso potencial de tal problema para chapéus pretos, ele optou por explorar esse problema de forma bastante perceptível.

Ao afetar a página do Facebook de Mark Zuckerberg, ele limitou as consequências de suas ações, ao mesmo tempo em que afirmou claramente o tamanho do problema da vulnerabilidade. O Facebook corrigiu rapidamente o problema. Não pagou nenhuma recompensa por bug, pois Khalil havia excedido as restrições do programa. Também não tentou fazer acusações. Este é um excelente exemplo do hacker decidindo que os fins justificam os meios, mesmo que os meios sejam ilegais.

No ano 2000, dois hackers, “{}” e “Hardbeat”, invadiram o site do servidor web Apache. Se eles fossem chapéus pretos, eles poderiam configurar silenciosamente downloads maliciosos no lugar dos legítimos. Qualquer usuário azarado o suficiente para instalar o servidor web antes que o hack fosse descoberto teria sido afetado. Em vez disso, eles “apenas” desfiguraram o site, trocando algumas imagens. As ações não prejudicaram nenhum usuário e levaram a um diálogo direto, resultando na correção do problema. Novamente, as ações foram ilegais, mas nas mãos de outra pessoa, a situação poderia ter sido muito pior.

Escolhendo uma vítima “merecedora”

Em alguns casos, os hackers de chapéu cinza visam ativamente os grupos aos quais eles se opõem. Muitas vezes, essas objeções são poderosas e respeitadas pela sociedade em geral. Não se trata apenas de grupos políticos dos quais você discorda. Tende a ser coisas como grupos de apoio ao terrorismo, regimes repressivos, organizações criminosas ou redes de pedofilia. Novamente, todas essas ações são ilegais, mas o chapéu cinza escolhe seus alvos com base em uma estrutura moral que normalmente é socialmente aceitável. Eles esperam que seus esforços ajudem a proteger as pessoas.

Um chapéu cinza que funciona de acordo com esse princípio também pode se considerar uma espécie de figura semelhante a Robin Hood. Eles podem até interpretar essa comparação literalmente, roubar dinheiro de suas vítimas “merecedoras” escolhidas e depois doá-lo a uma boa causa autodefinida. Todo esse conceito é altamente subjetivo. Algumas pessoas podem concordar que as ações, embora ilegais, são éticas, enquanto outras não.

Conclusão

Um chapéu cinza é um hacker cujas ações e motivações estão em algum lugar entre um hacker de chapéu preto e um branco. Normalmente, eles operam sob o princípio de que os fins justificam os meios. Eles resolvem as vulnerabilidades de segurança, mas geralmente infringem a lei no processo de fazê-lo. Essa ação os diferencia dos chapéus brancos.

O cuidado de minimizar as consequências para as vítimas ou, em alguns casos, de escolher vítimas “merecedoras”, os separa dos chapéus pretos. É essencial entender que, apesar das ações de um chapéu cinza serem eticamente justificáveis, pelo menos até certo ponto, muitas jurisdições não irão considerar isso se e quando as ações forem a julgamento.