Što je sivi šešir?

Zakon je obično vrlo crno-bijel kada je u pitanju zakonitost stvari poput hakiranja. Ili nešto jest – ili nije – zločin. Etika, međutim, može biti mnogo nijansirana. Dok se etika nečega može uzeti u obzir u kriminalnom okruženju, bilo s nedostatkom provedbe ili blažim kaznama, to ni na koji način nije zajamčeno.

Izraz haker sa sivim šeširom odnosi se na hakere koji hodaju po žici. Često su njihovi postupci nezakoniti, ali imaju neko etičko opravdanje ili okvir. Tehnički, također pokriva one koji djeluju zakonito, ali neetički. Ta je skupina, međutim, puno manja od prve.

Problem s hakerima crnog šešira je taj što oni žrtvuju nevine ljude, samo se bave svojim životima. Nije važno jeste li bolnica s pacijentima čiji životi vise o koncu ako ste kritična nacionalna infrastruktura, nuklearno postrojenje ili ste odgovorni za mirovine milijuna ljudi. Za njih je svatko prihvatljiv kao žrtva jer im je cilj, obično, izvući korist za sebe.

Način rada hakera sivih šešira varira, ali često se služe nezakonitim radnjama dok pokušavaju umanjiti štetu koju svojim djelovanjem uzrokuju. To obično ima oblik ponašanja poput bijelog šešira , identificiranja ranjivosti i odgovornog otkrivanja istih, ali kritički to radeći bez dopuštenja.

Motivacije

Sivi šešir obično je motiviran slično hakeru s bijelim šeširom. Žele otkriti probleme kako bi odgovorno poboljšali sigurnost korisnika. Općenito, međutim, smatraju da je pravni sustav previše restriktivan i djeluju bez dopuštenja. U nekoliko slučajeva to je učinjeno jer nije bilo radnje kada je ispoštovana odgovarajuća procedura ili zato što su hakirali iz zabave.

Mnogi rani računalni hakeri bili su motivirani pokušajem da vide što se može učiniti. U mnogim slučajevima ti hakeri nisu učinili ništa zlonamjerno. Tehnički, gledali bi podatke, ali nije bilo crnog tržišta na kojem bi ih mogli prodati. Bila je standardna praksa za ove hakere da "postave zastavu", signalizirajući da su bili tamo, a zatim stanu i krenu dalje. Često bi zastavica bila nešto jednostavno poput tekstualne datoteke koja kaže: "X je bio ovdje." To bi svakako bilo protuzakonito u moderno doba, ali važeći zakoni tada nisu postojali. Ti su hakeri obično to radili iz zabave i općenito nisu učinili mnogo štete. Kao takvi, mogli bi se nazvati sivim šeširima, iako bi se mogli nazvati i crnim šeširima.

Ponekad, kada etički haker pokuša prijaviti sigurnosnu ranjivost na koju je naišao, naiđe na šutnju, odbacivanje ili nevjericu. To onda ostavlja etičkog hakera u nedoumici. Držite li sve u tajnosti i nadate li se da nijedan crni haker neće primijetiti grešku, ili objavljujete detalje kako biste potencijalnim žrtvama omogućili da odluče ne koristiti nesiguran sustav, dok u isto vrijeme informirate crne šešire o problemu? To je težak izbor i etički izazovan.

Primjeri iz stvarnog svijeta

Godine 2013., Khalil Shreateh, sigurnosni istraživač, otkrio je ranjivost koja je omogućila jednom korisniku Facebooka da objavljuje kao drugi korisnik. Pokušao je adekvatno razotkriti problem putem Facebookovog bug bounty programa. Problem je, međutim, odbijen kao da "nije greška". Frustriran i svjestan potencijalne upotrebe takvog problema za crne šešire, odlučio je iskoristiti ovaj problem na vrlo zamjetan način.

Utječući na Facebook stranicu Marka Zuckerberga, on je ograničio posljedice svojih radnji, jasno navodeći koliki je problem ta ranjivost. Facebook je zatim brzo riješio problem. Nije platio nagradu za bugove jer je Khalil prekoračio ograničenja programa. Također nije pokušao podići optužbe. Ovo je izvrstan primjer hakera koji odlučuje da ciljevi opravdavaju sredstva, iako su sredstva bila nezakonita.

Godine 2000. dva hakera, “{}” i “Hardbeat,” upala su na web stranicu Apache web servera. Da su crni šeširi, mogli su tiho postaviti zlonamjerna preuzimanja umjesto legitimnih. Svaki korisnik koji nije imao sreće da instalira web poslužitelj prije nego što je hakiranje otkriveno bio bi pogođen. Umjesto toga, oni su "samo" unakazili web mjesto, zamijenivši neke slike. Radnje nisu naštetile korisnicima i dovele su do izravnog dijaloga, što je rezultiralo rješavanjem problema. Opet su radnje bile nezakonite, ali u tuđim rukama situacija je mogla biti puno gora.

Odabir “zaslužne” žrtve

U nekim slučajevima, sivi hakeri aktivno ciljaju na skupine kojima se protive. Često su ti prigovori snažni i društvo ih u cjelini poštuje. Ovo nisu samo političke skupine s kojima se ne slažete. Obično su to stvari poput skupina koje podržavaju terorizam, represivnih režima, kriminalnih organizacija ili pedofilskih krugova. Opet, sve ove radnje su nezakonite, ali sivi šešir bira svoje mete na temelju moralnog okvira koji je tipično društveno prihvatljiv. Nadaju se da će svojim naporima pomoći u zaštiti ljudi.

Sivi šešir koji radi prema ovom principu također se može smatrati nekom vrstom Robin Hooda. Oni čak mogu ovu usporedbu shvatiti vrlo doslovno, ukrasti novac od svojih odabranih "zaslužnih" žrtava, a zatim ga dati za dobar cilj koji su sami definirali. Cijeli ovaj koncept je vrlo subjektivan. Neki se ljudi mogu složiti da su postupci, iako nezakoniti, etički, dok drugi možda nisu.

Zaključak

Sivi šešir je haker čije su akcije i motivacije negdje između hakera crnog i bijelog šešira. Obično djeluju prema načelu da cilj opravdava sredstva. Rješavaju sigurnosne propuste, ali pritom obično krše zakon. Ova radnja ih razlikuje od bijelih šešira.

Briga da se posljedice po žrtve svedu na najmanju moguću mjeru, ili u nekim slučajevima da se izaberu "zaslužne" žrtve, odvaja ih od crnih šešira. Bitno je razumjeti da unatoč tome što su radnje sivog šešira etički opravdane, barem donekle, mnoge jurisdikcije to neće uzeti u obzir ako i kada radnje dođu do suđenja.