Чёрные, белые и серые шляпы: кто такие хакеры на самом деле

В обычной речи хакер — это тот, кто взламывает компьютеры. В мире безопасности слово старше и шире: хакер — это человек, который понимает систему настолько хорошо, что может заставить её делать то, чего не ожидали её создатели. Используется ли этот навык, чтобы защищать людей или вредить им, — отдельный вопрос. Для ответа на него отрасль позаимствовала образ из старых вестернов, где хорошие парни носили белые шляпы, а злодеи — чёрные.

Три шляпы

Единственный критерий, который отделяет белых от чёрных и серых, — это разрешение. Пентестер и преступник могут пользоваться одними и теми же инструментами и техниками. Профессионала от правонарушителя отличает письменное разрешение, согласованное заранее, в котором определено, что и как можно проверять.

Чёрные шляпы: индустрия, а не одинокий гений

Одиночка в капюшоне со стоковых фото — в основном миф. Серьёзный преступный хакинг сегодня устроен как бизнес. Одни группы пишут вредоносное ПО и сдают его в аренду; другие специализируются на получении первоначального доступа к сетям и продают его; третьи ведут переговоры и отмывают деньги. Банды вымогателей, операторы инфостилеров и мошеннические сети обмениваются услугами на преступных форумах. Понимание этого объясняет, почему атаки так упорны: для людей за ними это работа.

Белые шляпы: как устроены законные исследования безопасности

• Тестирование на проникновение: компания нанимает экспертов атаковать её собственные системы по подписанному договору, а потом исправляет найденное.
• Программы bug bounty: компании публикуют правила и рамки, приглашают исследователей искать уязвимости и платят вознаграждения за подтверждённые отчёты. Многие работают через платформы вроде HackerOne и Bugcrowd, а у Apple есть собственная программа Apple Security Bounty.
• Скоординированное раскрытие уязвимостей: исследователь, нашедший изъян, сообщает о нём производителю приватно, даёт время на исправление и публикует подробности, только когда пользователи могут защититься. Если до производителя трудно достучаться, раскрытие координирует CISA.
• Защита: команды безопасности, специалисты по реагированию на инциденты и авторы защитных инструментов.

Серые шляпы: благие намерения, реальный юридический риск

Серые шляпы часто считают себя хорошими парнями: нашли уязвимость, взломали, чтобы доказать, и сообщили владельцу. Проблема в том, что большинство законов о компьютерных преступлениях сосредоточены на доступе без разрешения, а не на намерениях. В США Закон о компьютерном мошенничестве и злоупотреблениях (CFAA) делает несанкционированный доступ преступлением; в Великобритании то же делает Закон о неправомерном использовании компьютеров, и похожие законы есть по всей Европе и за её пределами. Некоторые прокуроры стали осторожнее: в 2022 году Министерство юстиции США объявило политику, согласно которой добросовестные исследования безопасности не должны преследоваться по CFAA. Но эта политика направляет только федеральных прокуроров; она не меняет сам закон, не обязательна для других стран и не мешает компании подать иск.

Как учиться хакингу законно

С любопытства к тому, как ломаются системы, начинали большинство специалистов по безопасности, и удовлетворить его можно, не нарушая закон. Соревнования Capture the Flag (CTF) дают намеренно уязвимые задания, которые решают в одиночку или командой. Учебные платформы и лаборатории предоставляют машины, созданные для атак, с понятными правилами. Можно собрать и небольшую домашнюю лабораторию из старых компьютеров или виртуальных машин, которые принадлежат вам. Общее правило простое: проверять можно только системы, которые принадлежат вам или которые вам явно и письменно разрешил проверять тот, у кого есть на это право. Эта привычка, выработанная с первого дня, — ровно то, что ищут работодатели и программы bug bounty.

Другие «шляпы», о которых можно услышать

• Хактивисты: злоумышленники, движимые политической или общественной идеей.
• Государственные группы: хакеры, работающие на правительство или вместе с ним, часто ради шпионажа или диверсий.
• Скрипт-кидди: неопытные злоумышленники, использующие готовые инструменты, которые до конца не понимают. Умеют меньше, но всё равно способны нанести реальный ущерб.
• Инсайдеры: сотрудники или подрядчики, злоупотребляющие доступом, который у них есть на законных основаниях.

Почему это важно обычным людям

Понимание того, кто на другой стороне, помогает оценивать риск. Большинство людей не становятся целью государственных групп; с организованной преступностью «чёрных шляп» они сталкиваются через фишинг, инфостилеры и вымогателей — это оппортунистические атаки, нацеленные на любого, кто попадётся. А работа «белых шляп» — причина, по которой ваши приложения получают обновления безопасности: многие исправленные в обновлении изъяны нашли исследователи и ответственно о них сообщили. Устанавливая обновления без промедления, вы получаете пользу от их труда. Инструменты вроде FireAI — на стороне «белых шляп»: они показывают, что делают программы на вашем компьютере, на вашей собственной машине и с вашего согласия.