Co je to šedý klobouk?

Zákon bývá velmi černobílý, pokud jde o legalitu věcí, jako je hackování. Buď něco je – nebo není – zločin. Etika však může být mnohem jemnější. Zatímco etika něčeho může být v kriminálním prostředí zohledněna, ať už nedostatečným vymáháním nebo mírnějšími tresty, není to žádným způsobem zaručeno.

Termín grey hat hacker označuje hackery, kteří chodí po tomto laně. Jejich jednání je často nezákonné, ale má nějaké etické zdůvodnění nebo rámec. Technicky se vztahuje i na ty, kteří jednají legálně, ale neeticky. Tato skupina je však mnohem menší než ta první.

Problém černých hackerů je v tom, že se stávají obětí nevinných lidí, jen si jdou o život. Nezáleží na tom, zda jste nemocnice s pacienty, jejichž životy visí na vlásku, pokud jste klíčovou národní infrastrukturou, jaderným zařízením nebo jste odpovědní za důchody milionů lidí. Kdokoli je pro ně přijatelný jako oběť, protože jejich cílem je obvykle prospět sami sobě.

Modus operandi hackerů šedého klobouku se liší, ale často používají nezákonné činy a snaží se minimalizovat škody, které jejich činy způsobují. To má obvykle podobu chovat se jako bílý klobouk , identifikovat zranitelná místa a zodpovědně je odhalit, ale kriticky to dělat bez povolení.

Motivace

Šedý klobouk je typicky motivován podobně jako hacker s bílým kloboukem. Chtějí odhalit problémy, aby zvýšili zabezpečení pro uživatele zodpovědně. Obecně však považují právní systém za příliš omezující a jednají bez povolení. V několika případech se tak děje proto, že nedošlo k žádné akci, když byl dodržen správný postup, nebo protože hackovali pro zábavu.

Mnoho prvních počítačových hackerů bylo motivováno snahou zjistit, co by se dalo dělat. V mnoha případech tito hackeři neprovedli nic škodlivého. Technicky vzato by se dívali na data, ale neexistovaly černé trhy, na kterých by je prodávaly. Pro tyto hackery bylo standardní praxí „vyvěsit vlajku“, což signalizuje, že tam byli, a pak se zastavili a pokračovali. Často by příznak byl něco jednoduchého, jako textový soubor, který říkal: „X bylo tady“. To by bylo v moderní době jistě nezákonné, ale platné zákony tehdy neexistovaly. Tito hackeři to obvykle dělali pro zábavu a obecně nezpůsobili mnoho škody. Jako takové by mohly být nazývány šedými klobouky, i když by se mohly stejně dobře nazývat černé klobouky.

Někdy, když se etický hacker pokusí nahlásit bezpečnostní chybu, na kterou narazil, setká se s mlčením, propuštěním nebo nedůvěrou. To pak zanechá etického hackera v nesnázích. Udržujete vše v tajnosti a doufáte, že si žádní black hat hackeři chyby nevšimnou, nebo zveřejňujete podrobnosti, abyste potenciálním obětem umožnili rozhodnout se, že nebudou používat nejistý systém, a zároveň budete o problému informovat černé klobouky? Je to obtížná volba a eticky náročná.

Příklady ze skutečného světa

V roce 2013 Khalil Shreateh, bezpečnostní výzkumník, objevil zranitelnost, která umožňovala jednomu uživateli Facebooku přispívat jako jiný uživatel. Pokusil se problém adekvátně odhalit prostřednictvím programu odměn za chyby Facebooku. Problém však byl odmítnut jako „není chyba“. Frustrovaný a vědom si potenciálního využití takového problému pro černé klobouky, rozhodl se využít tohoto problému velmi nápadným způsobem.

Tím, že ovlivnil facebookovou stránku Marka Zuckerberga, omezil dopad svých činů a zároveň jasně uvedl, jak velký problém je zranitelnost. Facebook pak problém rychle vyřešil. Nevyplatila žádnou odměnu za chyby, protože Khalil překročil omezení programu. Rovněž se nepokusilo vznést obvinění. Toto je vynikající příklad toho, jak se hacker rozhodl, že účel ospravedlňuje prostředky, i když prostředky byly nezákonné.

V roce 2000 se dva hackeři, „{}“ a „Hardbeat“, nabourali na webovou stránku webového serveru Apache. Pokud by byli černými klobouky, mohli tiše nastavit škodlivé stahování místo legitimních. Každý uživatel, který by neměl to štěstí, že si nainstaloval webový server před objevením hacku, by byl ovlivněn. Místo toho „pouze“ znehodnotili web a vyměnili některé obrázky. Tyto akce nepoškodily žádné uživatele a vedly k přímému dialogu, což vedlo k vyřešení problému. Akce byly opět nezákonné, ale v rukou někoho jiného mohla být situace mnohem horší.

Výběr „zasloužilé“ oběti

V některých případech se hackeři šedého klobouku aktivně zaměřují na skupiny, proti kterým mají námitky. Tyto námitky jsou často silné a společností jako celek je respektuje. To nejsou jen politické skupiny, se kterými nesouhlasíte. Bývají to věci jako skupiny podporující terorismus, represivní režimy, zločinecké organizace nebo pedofilní kroužky. Všechny tyto akce jsou opět nezákonné, ale šedý klobouk si vybírá své cíle na základě morálního rámce, který je typicky společensky přijatelný. Doufají, že jejich úsilí pomůže chránit lidi.

Šedý klobouk, který funguje na tomto principu, se může také považovat za postavu podobnou Robinu Hoodovi. Mohou dokonce brát toto přirovnání velmi doslovně, ukrást peníze svým vybraným „zasloužilým“ obětem a pak je dát na vlastní dobrou věc. Celý tento koncept je vysoce subjektivní. Někteří lidé mohou souhlasit s tím, že činy, i když jsou nezákonné, jsou etické, zatímco jiní ne.

Závěr

Šedý klobouk je hacker, jehož činy a motivace spadají někam mezi černého a bílého hackera. Obvykle fungují na principu, že účel světí prostředky. Dostanou vyřešené bezpečnostní chyby, ale obvykle při tom poruší zákon. Tato akce je odlišuje od bílých klobouků.

Péče o minimalizaci dopadu na oběti nebo v některých případech o výběr obětí, které si to zaslouží, je odděluje od černých klobouků. Je nezbytné pochopit, že navzdory tomu, že činy šedého klobouku jsou eticky ospravedlnitelné, alespoň do určité míry, mnoho jurisdikcí to nebude brát v úvahu, pokud a když se činy dostanou před soud.