Серые хакеры: между этикой и законом

Введение

Тип компьютерного хакера

Серый хакер (англ. greyhat или gray hat) — это компьютерный хакер или эксперт по компьютерной безопасности, который может время от времени нарушать законы или общепринятые этические нормы, но обычно не имеет злонамеренных намерений, свойственных хакеру «черной шляпы». Термин появился в конце 1990-х годов и произошел от концепций хакеров «белой шляпы» и «черной шляпы». Если хакер «белой шляпы» обнаруживает уязвимость, он использует её только с разрешения и не раскрывает её существование, пока она не будет устранена, в то время как хакер «черной шляпы» незаконно использует её и/или рассказывает другим, как это сделать. Серый хакер не будет незаконно использовать уязвимость и не будет сообщать другим о способах её эксплуатации. Дальнейшее различие между этими типами хакеров заключается в методах обнаружения уязвимостей. Хакер «белой шляпы» взламывает системы и сети по запросу работодателя или с явного разрешения с целью оценки их безопасности, в то время как хакер «черной шляпы» взламывает любую систему или сеть для получения конфиденциальной информации в личных целях. Серый хакер обычно обладает навыками и намерениями хакера «белой шляпы», но может взламывать системы и сети без разрешения. Согласно одному из определений, серый хакер, обнаружив уязвимость, вместо того чтобы сообщать поставщику о принципе её работы, может предложить исправить её за небольшую плату. Получив незаконный доступ к системе или сети, он может предложить системному администратору нанять одного из своих знакомых для устранения проблемы; однако эта практика постепенно уходит в прошлое из-за растущей готовности компаний привлекать к ответственности. Другое определение серого хакера утверждает, что они лишь предположительно нарушают закон, стремясь исследовать и улучшить безопасность: законность определяется конкретными последствиями взломов, в которых они участвуют. В сообществе поисковой оптимизации (SEO) серые хакеры — это те, кто манипулируют позициями веб-сайтов в поисковой выдаче, используя ненадлежащие или неэтичные методы, но которые не считаются поисковым спамом. Недавнее исследование изучило психологические характеристики людей, занимающихся взломом в профессиональной сфере. Результаты показали, что серые хакеры обычно склонны к бунтарству, хакеры «черной шляпы» имеют выраженную тягу к острым ощущениям, а хакеры «белой шляпы» часто проявляют нарциссические черты.

A grey hat (greyhat or gray hat) is a computer hacker or computer security expert who may sometimes violate laws or typical ethical standards, but usually does not have the malicious intent typical of a black hat hacker. The term came into use in the late 1990s, and was derived from the concepts of "white hat" and "black hat" hackers. When a white hat hacker discovers a vulnerability, they will exploit it only with permission and not divulge its existence until it has been fixed, whereas the black hat will illegally exploit it and/or tell others how to do so. The grey hat will neither illegally exploit it, nor tell others how to do so. A further difference among these types of hacker lies in their methods of discovering vulnerabilities. The white hat breaks into systems and networks at the request of their employer or with explicit permission for the purpose of determining how secure it is against hackers, whereas the black hat will break into any system or network in order to uncover sensitive information for personal gain. The grey hat generally has the skills and intent of the white hat but may break into any system or network without permission. According to one definition of a grey hat hacker, when they discover a vulnerability, instead of telling the vendor how the exploit works, they may offer to repair it for a small fee. When one gains illegal access to a system or network, they may suggest to the system administrator that one of their friends be hired to fix the problem; however, this practice has been declining due to the increasing willingness of businesses to prosecute. Another definition of grey hat maintains that grey hat hackers only arguably violate the law in an effort to research and improve security: legality being set according to the particular ramifications of any hacks they participate in. In the search engine optimization (SEO) community, grey hat hackers are those who manipulate websites' search engine rankings using improper or unethical means but that are not considered search engine spam. A recent research study looked into the psychological characteristics of individuals that participate in hacking in the workforce. The findings indicate that grey hat hackers typically go against authority, black hat hackers have a strong tendency toward thrill seeking, and white hat hackers often exhibit narcissistic traits.

История

Фраза "серые шляпы" впервые была публично использована в контексте компьютерной безопасности, когда DEF CON объявил о первых запланированных брифингах Black Hat в 1996 году, хотя она могла использоваться небольшими группами и ранее. Более того, на этой конференции был представлен доклад, в котором Мадж, ключевой член хакерской группы L0pht, обсудил их намерение, как хакеров "серых шляп", предоставлять Microsoft информацию об обнаруженных уязвимостях для защиты огромного числа пользователей их операционной системы. Наконец, Майк Нэш, директор серверной группы Microsoft, заявил, что хакеры "серых шляп" во многом похожи на технических специалистов в независимой индустрии программного обеспечения, поскольку "они ценны тем, что предоставляют нам обратную связь для улучшения наших продуктов". Фраза "серые шляпы" была использована хакерской группой L0pht в интервью 1999 года газете The New York Times для описания их хакерской деятельности. Эта фраза использовалась для обозначения хакеров, поддерживающих этичное сообщение об уязвимостях непосредственно поставщику программного обеспечения, в отличие от практики полного раскрытия, распространенной в сообществе "белых шляп", которая подразумевала неразглашение уязвимостей за пределами группы. Ирония заключалась в том, что для "черных шляп" эта интерпретация воспринималась как уничижительная, в то время как среди "белых шляп" она придавала определенную известность. После подъема и последующего упадка "золотой эры" полного раскрытия информации против антисек-движения и последовавшего за этим роста философии "этического взлома", термин "серые шляпы" начал приобретать самые разнообразные значения. Преследование в США Дмитрия Склярова за действия, законные в его родной стране, изменило отношение многих исследователей в области безопасности. По мере того, как Интернет стал использоваться для все более важных функций, и росла обеспокоенность терроризмом, термин "белые шляпы" стал относиться к экспертам по корпоративной безопасности, которые не поддерживали полное раскрытие информации. В 2008 году EFF определила "серых шляп" как исследователей в области безопасности, которые непреднамеренно или, возможно, нарушают закон в попытке исследовать и улучшить безопасность. Они выступают за более четкие и узко сформулированные законы о компьютерных преступлениях.

The phrase grey hat was first publicly used in the computer security context when DEF CON announced the first scheduled Black Hat Briefings in 1996, although it may have been used by smaller groups prior to this time. Moreover, at this conference a presentation was given in which Mudge, a key member of the hacking group L0pht, discussed their intent as grey hat hackers to provide Microsoft with vulnerability discoveries in order to protect the vast number of users of its operating system. Finally, Mike Nash, Director of Microsoft's server group, stated that grey hat hackers are much like technical people in the independent software industry in that "they are valuable in giving us feedback to make our products better". The phrase grey hat was used by the hacker group L0pht in a 1999 interview with The New York Times to describe their hacking activities. The phrase was used to describe hackers who support the ethical reporting of vulnerabilities directly to the software vendor in contrast to the full disclosure practices that were prevalent in the white hat community that vulnerabilities not be disclosed outside of their group. The irony was that for black hats, this interpretation was seen as a derogatory term; whereas amongst white hats it was a term that lent a sense of popular notoriety. Following the rise and eventual decline of the full disclosure vs. anti sec "golden era"—and the subsequent growth of an "ethical hacking" philosophy—the term grey hat began to take on all sorts of diverse meanings. The prosecution in the U. S. of Dmitry Sklyarov for activities which were legal in his home country changed the attitudes of many security researchers. As the Internet became used for more critical functions, and concerns about terrorism grew, the term "white hat" started referring to corporate security experts who did not support full disclosure. In 2008, the EFF defined grey hats as ethical security researchers who inadvertently or arguably violate the law in an effort to research and improve security. They advocate for computer offense laws that are clearer and more narrowly drawn.

Примеры

В апреле 2000 года хакеры, известные как "{}" и "Hardbeat", получили несанкционированный доступ к Apache.org. Они предпочли уведомить разработчиков Apache о проблемах, а не пытаться повредить серверы Apache.org. В июне 2010 года группа компьютерных экспертов, известная как Goatse Security, обнаружила уязвимость в системе безопасности AT&T, которая позволила раскрыть адреса электронной почты пользователей iPad. Группа сообщила об уязвимости в СМИ вскоре после уведомления AT&T. После этого ФБР начало расследование инцидента и провело обыск в доме weev, наиболее известного члена группы. В апреле 2011 года группа экспертов обнаружила, что iPhone и 3G iPad от Apple "регистрировали посещенные пользователем веб-сайты". Apple выпустила заявление, в котором говорилось, что iPad и iPhone регистрируют только вышки сотовой связи, к которым телефон может подключиться. По этому вопросу было опубликовано множество статей, и он рассматривался как незначительная проблема безопасности. Этот случай классифицируется как "серый хакер", поскольку, хотя эксперты могли использовать эту информацию в злонамеренных целях, они все же сообщили об уязвимости. В августе 2013 года Халил Шратех, безработный исследователь в области компьютерной безопасности, взломал страницу Марка Цукерберга в Facebook, чтобы добиться исправления ошибки, которую он обнаружил и которая позволяла ему публиковать сообщения на страницах любых пользователей без их согласия. Он неоднократно пытался сообщить об этой ошибке в Facebook, но ему отвечали, что это не является ошибкой. После этого инцидента Facebook устранил эту уязвимость, которая могла бы стать мощным инструментом в руках профессиональных спамеров. Шратех не получил вознаграждение от программы Facebook White Hat, поскольку нарушил их правила, что делает этот инцидент случаем "серого хакера".