Siyah şapka, beyaz şapka, gri şapka: hackerlar gerçekte kimdir

Gündelik dilde hacker, bilgisayarlara zorla giren kişidir. Güvenlik dünyasında kelime daha eski ve daha geniştir: hacker, bir sistemi tasarımcılarının beklemediği şeyleri yaptıracak kadar iyi anlayan kişidir. Bu becerinin insanları korumak için mi yoksa onlara zarar vermek için mi kullanıldığı ayrı bir sorudur. Sektör bu soru için eski kovboy filmlerinden bir kısaltma ödünç alır: iyi adamlar beyaz, kötüler siyah şapka takardı.

Üç şapka

Beyazı siyahtan ve griden ayıran tek ölçüt yetkidir. Bir sızma testi uzmanı ile bir suçlu aynı araçları ve teknikleri kullanabilir. Birini profesyonel, diğerini suçlu yapan, önceden kararlaştırılmış, neyin nasıl test edilebileceğini tanımlayan yazılı izindir.

Siyah şapkalılar: yalnız bir dâhi değil, bir sektör

Hazır fotoğraflardaki kapüşonlu yalnız adam büyük ölçüde bir efsanedir. Ciddi suç amaçlı hackleme bugün bir işletme gibi örgütlenmiştir. Bazı gruplar kötü amaçlı yazılım yazar ve kiralar; bazıları ağlara ilk erişimi elde etmekte uzmanlaşır ve bunu satar; bazıları ise pazarlıkları ve kara para aklamayı üstlenir. Fidye yazılımı çeteleri, bilgi hırsızı operatörleri ve dolandırıcılık ağları suç forumlarında birbirleriyle hizmet takas eder. Bunu anlamak saldırıların neden bu kadar ısrarcı olduğunu açıklar: arkalarındaki insanlar için bu bir iştir.

Beyaz şapkalılar: meşru güvenlik araştırması nasıl işler

• Sızma testi: bir şirket, imzalı bir anlaşmayla kendi sistemlerine saldırmaları için uzmanlar tutar, sonra bulunanları düzeltir.
• Hata ödül programları (bug bounty): şirketler kurallar ve bir kapsam yayınlar, araştırmacıları açık aramaya davet eder ve geçerli raporlar için ödül öder. Birçoğu HackerOne ve Bugcrowd gibi platformlar üzerinden yürür; Apple’ın da kendi Apple Security Bounty programı vardır.
• Koordineli açık bildirimi: bir kusur bulan araştırmacı onu üreticiye gizlice bildirir, düzeltme için zaman tanır ve ayrıntıları ancak kullanıcılar kendilerini koruyabildiğinde yayınlar. Bir üreticiye ulaşmak zorsa bildirimi CISA koordine eder.
• Savunma: güvenlik ekipleri, olay müdahale uzmanları ve güvenlik araçları yazan kişiler.

Gri şapkalılar: iyi niyet, gerçek hukuki risk

Gri şapkalılar çoğu zaman kendilerini iyi adam olarak görür: bir kusur buldular, kanıtlamak için içeri girdiler ve sahibine söylediler. Sorun şu ki bilgisayar suçlarıyla ilgili yasaların çoğu niyete değil, yetkisiz erişime odaklanır. ABD’de Bilgisayar Dolandırıcılığı ve Kötüye Kullanımı Yasası (CFAA) yetkisiz erişimi suç sayar; Birleşik Krallık’ta Bilgisayarın Kötüye Kullanımı Yasası da aynısını yapar ve Avrupa’nın her yerinde ve başka yerlerde benzer yasalar vardır. Bazı savcılar daha temkinli hâle geldi: 2022’de ABD Adalet Bakanlığı, iyi niyetli güvenlik araştırmasının CFAA kapsamında suçlanmaması gerektiğini söyleyen bir politika açıkladı. Ama bu politika yalnızca federal savcılara yol gösterir; yasanın kendisini değiştirmez, başka ülkeleri bağlamaz ve bir şirketin dava açmasını engellemez.

Hacklemeyi yasal yoldan öğrenmek

Sistemlerin nasıl bozulduğuna duyulan merak, çoğu güvenlik uzmanının başlangıç noktasıdır ve bu merakı yasayı çiğnemeden gidermek için pek çok yer vardır. Bayrağı Yakala (CTF) yarışmaları, tek başınıza veya bir ekiple çözmeniz için kasıtlı olarak açıklı görevler sunar. Alıştırma platformları ve eğitim laboratuvarları, net kurallarla saldırılmak için yapılmış makineler sağlar. Sahibi olduğunuz eski bilgisayarlar veya sanal makinelerle evde küçük bir laboratuvar da kurabilirsiniz. Ortak nokta basittir: yalnızca size ait olan ya da bunu yapma yetkisi olan birinin size açıkça ve yazılı olarak izin verdiği sistemleri test edersiniz. İlk günden edinilen bu alışkanlık, işverenlerin ve hata ödül programlarının aradığı şeyin ta kendisidir.

Duyabileceğiniz diğer şapkalar

• Hacktivistler: siyasi veya toplumsal bir davayla hareket eden saldırganlar.
• Devlet destekli gruplar: bir hükümet için veya onunla birlikte çalışan, çoğu zaman casusluğa veya sabotaja odaklanan hackerlar.
• Script kiddie’ler: tam olarak anlamadıkları hazır araçları kullanan deneyimsiz saldırganlar. Daha az yetenekliler, ama yine de gerçek zarar verebilirler.
• İçerdekiler: meşru olarak sahip oldukları erişimi kötüye kullanan çalışanlar veya yükleniciler.

Bu, sıradan insanlar için neden önemli

Karşı tarafta kimin olduğunu bilmek riski değerlendirmenize yardım eder. Çoğu insan devlet destekli grupların hedefi olmaz; örgütlü siyah şapka suçlarıyla kimlik avı, bilgi hırsızları ve fidye yazılımları aracılığıyla karşılaşır; bunlar fırsatçıdır ve kim tuzağa düşerse onu hedefler. Beyaz şapkalıların emeği ise uygulamalarınızın güvenlik güncellemeleri almasının nedenidir: bir güncellemede giderilen kusurların çoğunu araştırmacılar bulmuş ve sorumlu şekilde bildirmiştir. Güncellemeleri hemen kurmak, onların emeğinin faydasını toplamanın yoludur. FireAI gibi araçlar beyaz şapka tarafındadır: bilgisayarınızdaki yazılımların ne yaptığını, kendi makinenizde ve sizin onayınızla gösterirler.