Czarny kapelusz, biały kapelusz, szary kapelusz: kim naprawdę są hakerzy

W codziennej mowie haker to ktoś, kto włamuje się do komputerów. W świecie bezpieczeństwa to słowo jest starsze i szersze: haker to ktoś, kto rozumie system na tyle dobrze, by skłonić go do rzeczy, których projektanci nie przewidzieli. To, czy ta umiejętność służy ochronie ludzi, czy szkodzeniu im, to osobna kwestia. Branżowy skrót na tę kwestię pochodzi ze starych westernów, w których dobrzy nosili białe kapelusze, a złoczyńcy czarne.

Trzy kapelusze

Jedynym testem, który oddziela biel od czerni i szarości, jest upoważnienie. Pentester i przestępca mogą używać tych samych narzędzi i technik. Tym, co czyni jednego profesjonalistą, a drugiego sprawcą przestępstwa, jest pisemna zgoda, uzgodniona z wyprzedzeniem, która określa, co i jak wolno testować.

Czarne kapelusze: przemysł, nie samotny geniusz

Samotnik w kapturze ze zdjęć stockowych to w większości mit. Poważna przestępczość hakerska jest dziś zorganizowana jak biznes. Jedne grupy piszą złośliwe oprogramowanie i je wynajmują; inne specjalizują się w zdobywaniu początkowego dostępu do sieci i jego sprzedaży; jeszcze inne zajmują się negocjacjami i praniem pieniędzy. Gangi ransomware, operatorzy infostealerów i sieci oszustów wymieniają się usługami na przestępczych forach. Zrozumienie tego pomaga wyjaśnić, dlaczego ataki są tak uporczywe: dla ludzi, którzy za nimi stoją, to praca.

Białe kapelusze: jak działa legalne badanie bezpieczeństwa

• Testy penetracyjne: firma zatrudnia ekspertów, by na podstawie podpisanej umowy zaatakowali jej własne systemy, a potem naprawia to, co znaleźli.
• Programy bug bounty: firmy publikują zasady i zakres, zapraszają badaczy do szukania luk i płacą nagrody za prawidłowe zgłoszenia. Wiele działa przez platformy takie jak HackerOne i Bugcrowd, a Apple prowadzi własny program Apple Security Bounty.
• Skoordynowane ujawnianie podatności: badacz, który znajdzie lukę, zgłasza ją poufnie producentowi, daje czas na poprawkę i publikuje szczegóły dopiero wtedy, gdy użytkownicy mogą się chronić. CISA koordynuje ujawnienia, gdy z producentem trudno się skontaktować.
• Obrona: zespoły bezpieczeństwa, zespoły reagowania na incydenty i twórcy narzędzi bezpieczeństwa.

Szare kapelusze: dobre intencje, realne ryzyko prawne

Szare kapelusze często uważają się za tych dobrych: znaleźli lukę, włamali się, żeby ją udowodnić, i powiadomili właściciela. Problem w tym, że większość przepisów o przestępstwach komputerowych skupia się na dostępie bez upoważnienia, a nie na intencjach. W Stanach Zjednoczonych Computer Fraud and Abuse Act czyni nieuprawniony dostęp przestępstwem; w Wielkiej Brytanii to samo robi Computer Misuse Act, a podobne przepisy istnieją w całej Europie, także w Polsce. Niektórzy prokuratorzy stali się ostrożniejsi: w 2022 roku Departament Sprawiedliwości USA ogłosił wytyczne, zgodnie z którymi badania bezpieczeństwa prowadzone w dobrej wierze nie powinny być ścigane na podstawie Computer Fraud and Abuse Act. Te wytyczne obowiązują jednak tylko prokuratorów federalnych; nie zmieniają samego prawa, nie wiążą innych krajów i nie powstrzymują firmy przed pozwem.

Jak legalnie uczyć się hakowania

Ciekawość tego, jak psują się systemy, to punkt wyjścia większości specjalistów od bezpieczeństwa, a miejsc, by ją zaspokoić bez łamania prawa, jest mnóstwo. Zawody Capture the Flag (CTF) dają celowo podatne zadania do rozwiązania, samodzielnie lub w drużynie. Platformy ćwiczeniowe i laboratoria szkoleniowe udostępniają maszyny zbudowane po to, by je atakować, na jasnych zasadach. Możesz też zbudować małe laboratorium w domu ze starych komputerów lub maszyn wirtualnych, które należą do Ciebie. Wspólny mianownik jest prosty: testujesz wyłącznie systemy, które są Twoje, albo takie, na których testowanie ktoś uprawniony wyraźnie Ci pozwolił, na piśmie. Ten nawyk, ćwiczony od pierwszego dnia, to także dokładnie to, czego szukają pracodawcy i programy bug bounty.

Inne kapelusze, o których możesz usłyszeć

• Haktywiści: atakujący motywowani sprawą polityczną lub społeczną.
• Grupy sponsorowane przez państwa: hakerzy pracujący dla rządu lub z nim, często skupieni na szpiegostwie lub sabotażu.
• Script kiddies: niedoświadczeni atakujący korzystający z gotowych narzędzi, których do końca nie rozumieją. Mniej wprawni, ale wciąż zdolni do wyrządzenia realnych szkód.
• Insiderzy: pracownicy lub wykonawcy, którzy nadużywają dostępu, jaki legalnie posiadają.

Dlaczego to ważne dla zwykłych ludzi

Wiedza o tym, kto jest po drugiej stronie, pomaga oceniać ryzyko. Większość ludzi nie jest celem grup sponsorowanych przez państwa; styka się ze zorganizowaną przestępczością czarnych kapeluszy przez phishing, infostealery i ransomware, które są oportunistyczne i wymierzone w każdego, kto da się złapać. Praca białych kapeluszy to z kolei powód, dla którego Twoje aplikacje dostają aktualizacje bezpieczeństwa: wiele luk łatanych w aktualizacjach znaleźli badacze, którzy zgłosili je odpowiedzialnie. Szybkie instalowanie aktualizacji to sposób, by skorzystać z ich pracy. Narzędzia takie jak FireAI należą do strony białych kapeluszy: pokazują, co robi oprogramowanie na Twoim komputerze, na Twojej własnej maszynie i za Twoją zgodą.