Какво е сива шапка?

Законът обикновено е много черно-бял, когато става въпрос за законността на неща като хакване. Или нещо е – или не е – престъпление. Етиката обаче може да бъде много по-нюансирана. Докато етиката на нещо може да бъде взета под внимание в криминална среда, било то с липса на правоприлагане или по-меки присъди, това не е гарантирано по никакъв начин.

Терминът хакер със сива шапка се отнася за хакери, които вървят по това въже. Често действията им са незаконни, но имат някакво етично оправдание или рамка. Технически, то обхваща и онези, които действат законно, но неетично. Тази група обаче е много по-малка от първата.

Проблемът с хакерите с черни шапки е, че те стават жертви на невинни хора, просто си водят живота. Няма значение дали сте болница с пациенти, чийто живот виси на косъм, дали сте критична национална инфраструктура, ядрено съоръжение или отговаряте за пенсиите на милиони хора. Всеки е приемлив като жертва за тях, защото тяхната цел обикновено е да се облагодетелстват.

Начинът на действие на хакерите със сива шапка варира, но често те използват незаконни действия, докато се опитват да сведат до минимум вредата, която действията им причиняват. Това обикновено е под формата на действие като бяла шапка , идентифициране на уязвимостите и отговорното им разкриване, но критично правене на това без разрешение.

Мотивации

Сивата шапка обикновено е мотивирана подобно на хакера с бяла шапка. Те искат да разкрият проблеми, за да подобрят отговорно сигурността за потребителя. Като цяло обаче те намират правната система за твърде рестриктивна и действат без разрешение. В няколко случая това се прави, защото не е имало действие, когато е спазена правилната процедура, или защото са хаквали за забавление.

Много ранни компютърни хакери са били мотивирани от опит да видят какво може да се направи. В много случаи тези хакери не са направили нищо злонамерено. Технически те щяха да разглеждат данни, но нямаше черни пазари, на които да ги продават. За тези хакери беше стандартна практика да „поставят флаг“, сигнализирайки, че са били там и след това да спрат и да продължат напред. Често флагът е нещо просто като текстов файл, който казва: „X беше тук“. Това със сигурност би било незаконно в съвременните времена, но тогава не съществуваха приложимите закони. Тези хакери обикновено правеха това за забавление и като цяло не причиняваха много вреда. Като такива, те биха могли да бъдат наречени сиви шапки, въпреки че биха могли също така да бъдат наречени черни шапки.

Понякога, когато етичен хакер се опитва да съобщи за уязвимост в сигурността, на която е попаднал, той е посрещнат с мълчание, отхвърляне или недоверие. Тогава това поставя етичния хакер в затруднение. Пазиш ли всичко в тайна и се надяваш, че хакерите с черни шапки не забелязват недостатъка, или публикуваш подробностите, за да позволиш на потенциалните жертви да изберат да не използват несигурната система, като в същото време информираш черните шапки за проблема? Това е труден избор и етично предизвикателство.

Примери от реалния свят

През 2013 г. Khalil Shreateh, изследовател по сигурността, откри уязвимост, която позволява на един потребител на Facebook да публикува като друг потребител. Той се беше опитал да разкрие проблема адекватно чрез програмата за награди за грешки на Facebook. Проблемът обаче беше отхвърлен като „не е грешка“. Разочарован и осъзнал потенциалното използване на такъв проблем за черни шапки, той избра да използва този проблем по много забележим начин.

Като повлия на страницата на Марк Зукърбърг във Facebook, той ограничи последиците от действията си, като същевременно ясно посочи колко голям проблем е уязвимостта. След това Facebook бързо коригира проблема. Не беше платена награда за грешки, тъй като Халил беше надхвърлил ограниченията на програмата. Освен това не се опита да повдигне обвинения. Това е отличен пример за това как хакерът решава, че целите оправдават средствата, въпреки че средствата са незаконни.

През 2000 г. двама хакери, „{}“ и „Hardbeat“, хакнаха уебсайта на уеб сървъра Apache. Ако бяха черни шапки, можеха тихо да настроят злонамерени изтегляния на мястото на легитимни. Всеки потребител, който нямаше късмета да инсталира уеб сървъра преди да бъде открит хакът, би бил засегнат. Вместо това те „само“ обезобразиха уебсайта, разменяйки някои изображения. Действията не навредиха на потребителите и доведоха до директен диалог, в резултат на който проблемът беше коригиран. Отново действията бяха незаконни, но в ръцете на някой друг ситуацията можеше да бъде много по-лоша.

Избор на „заслужила“ жертва

В някои случаи хакерите със сиви шапки активно се насочват към групи, срещу които възразяват. Често тези възражения са мощни и уважавани от обществото като цяло. Това не са само политически групи, с които не сте съгласни. Обикновено това са неща като групи, подкрепящи тероризма, репресивни режими, престъпни организации или педофилски групи. Отново, всички тези действия са незаконни, но сивата шапка избира целите си въз основа на морална рамка, която обикновено е социално приемлива. Те се надяват, че усилията им помагат за защитата на хората.

Сива шапка, която работи на този принцип, също може да се смята за нещо като Робин Худ. Те дори могат да приемат това сравнение много буквално, да откраднат пари от избраните от тях „заслужаващи“ жертви и след това да ги дадат на самоопределена добра кауза. Цялата тази концепция е силно субективна. Някои хора може да се съгласят, че действията, макар и незаконни, са етични, докато други не могат.

Заключение

Сивата шапка е хакер, чиито действия и мотивация са нещо средно между хакер с черна и бяла шапка. Обикновено те работят според принципа, че целта оправдава средствата. Те получават отстраняване на уязвимостите в сигурността, но обикновено нарушават закона в процеса на това. Това действие ги отличава от белите шапки.

Грижата да се минимизират последиците за жертвите или в някои случаи да се изберат „заслужаващи“ жертви, ги разделя от черните шапки. Важно е да се разбере, че въпреки че действията на сива шапка са етично оправдани, поне до известна степен, много юрисдикции няма да вземат предвид това, ако и когато действията стигнат до съд.