Svart hatt, hvit hatt, grå hatt: hvem hackere egentlig er

I dagligtale er en hacker noen som bryter seg inn i datamaskiner. I sikkerhetsverdenen er ordet eldre og bredere: en hacker er noen som forstår et system godt nok til å få det til å gjøre ting konstruktørene ikke forventet. Om den ferdigheten brukes til å beskytte eller skade folk, er et annet spørsmål. Bransjens kortform for det spørsmålet er lånt fra gamle westernfilmer, der heltene bar hvite hatter og skurkene svarte.

Tre hatter

Den ene testen som skiller hvit fra svart og grå, er autorisasjon. En penetrasjonstester og en kriminell kan bruke de samme verktøyene og teknikkene. Det som gjør den ene til fagperson og den andre til lovbryter, er skriftlig tillatelse, avtalt på forhånd, som fastsetter hva som kan testes og hvordan.

Svarte hatter: en industri, ikke et ensomt geni

Den ensomme hettegenseren fra arkivbildene er stort sett en myte. Seriøs kriminell hacking er i dag organisert som en virksomhet. Noen grupper skriver skadevare og leier den ut; andre spesialiserer seg på å skaffe første tilgang til nettverk og selge den; andre tar seg av forhandlinger og hvitvasking. Løsepengevirusgjenger, infostealer-operatører og svindelnettverk handler tjenester med hverandre på kriminelle forum. Å forstå dette forklarer hvorfor angrepene er så iherdige: for folkene bak dem er det arbeid.

Hvite hatter: slik fungerer legitim sikkerhetsforskning

• Penetrasjonstesting: en bedrift leier inn eksperter til å angripe sine egne systemer under en signert avtale, og retter så det de finner.
• Dusørprogrammer (bug bounty): bedrifter publiserer regler og rammer, inviterer forskere til å lete etter feil og betaler belønning for gyldige rapporter. Mange drives via plattformer som HackerOne og Bugcrowd, og Apple har sitt eget Apple Security Bounty.
• Koordinert avsløring av sårbarheter: en forsker som finner en feil, melder den privat til leverandøren, gir tid til retting og publiserer detaljene først når brukerne kan beskytte seg. CISA koordinerer avsløringer når en leverandør er vanskelig å nå.
• Forsvar: sikkerhetsteam, hendelseshåndterere og folk som skriver sikkerhetsverktøy.

Grå hatter: gode hensikter, reell juridisk risiko

Grå hatter ser ofte på seg selv som de gode: de fant en feil, brøt seg inn for å bevise den og sa fra til eieren. Problemet er at de fleste lover om datakriminalitet handler om tilgang uten autorisasjon, ikke om hensikt. I USA gjør Computer Fraud and Abuse Act uautorisert tilgang straffbart; i Storbritannia gjør Computer Misuse Act det samme, og tilsvarende lover finnes i hele Europa, også i Norge. Noen påtalemyndigheter har blitt mer forsiktige: i 2022 kunngjorde det amerikanske justisdepartementet en retningslinje om at sikkerhetsforskning i god tro ikke bør tiltales etter Computer Fraud and Abuse Act. Men den retningslinjen styrer bare føderale påtalemyndigheter; den endrer ikke selve loven, binder ikke andre land og hindrer ikke en bedrift i å saksøke.

Lær hacking på lovlig vis

Nysgjerrighet på hvordan systemer går i stykker, er der de fleste sikkerhetsfolk startet, og det finnes mange steder å stille den uten å bryte loven. Capture the Flag-konkurranser (CTF) gir deg bevisst sårbare oppgaver å løse, alene eller i lag. Øvingsplattformer og treningslaber tilbyr maskiner laget for å bli angrepet, med klare regler. Du kan også bygge en liten lab hjemme med gamle datamaskiner eller virtuelle maskiner du eier. Fellesnevneren er enkel: du tester bare systemer du eier, eller som noen med myndighet til det uttrykkelig har gitt deg lov til å teste, skriftlig. Den vanen, innøvd fra første dag, er også nøyaktig det arbeidsgivere og dusørprogrammer ser etter.

Andre hatter du kan høre om

• Hacktivister: angripere drevet av en politisk eller sosial sak.
• Statsstøttede grupper: hackere som jobber for eller med en regjering, ofte med fokus på spionasje eller sabotasje.
• Script kiddies: uerfarne angripere som bruker ferdige verktøy de ikke helt forstår. Mindre dyktige, men fortsatt i stand til å gjøre reell skade.
• Innsidere: ansatte eller innleide som misbruker tilgangen de har på lovlig vis.

Hvorfor dette angår vanlige folk

Å vite hvem som står på den andre siden, hjelper deg å vurdere risiko. De fleste er ikke mål for statsstøttede grupper; de møter organisert svart-hatt-kriminalitet gjennom phishing, infostealere og løsepengevirus, som er opportunistiske og rettet mot den som går i fellen. Hvit-hatt-arbeidet er derimot grunnen til at appene dine får sikkerhetsoppdateringer: mange av feilene som rettes i en oppdatering, ble funnet av forskere og meldt på ansvarlig vis. Å installere oppdateringer raskt er hvordan du høster gevinsten av arbeidet deres. Verktøy som FireAI hører til på hvit-hatt-siden: de viser deg hva programvaren på datamaskinen din gjør, på din egen maskin og med ditt samtykke.