Hva er en grå hatt?

Loven har en tendens til å være veldig svart-hvitt når det kommer til lovligheten av ting som hacking. Enten er noe – eller ikke – en forbrytelse. Etikk kan imidlertid være mye mer nyansert. Selv om etikken til noe kan tas i betraktning i en kriminell setting, enten med mangel på håndheving eller mykere straffer, er dette ikke garantert på noen måte.

Begrepet gråhatt-hacker refererer til hackere som går på dette stramme lina. Ofte er handlingene deres ulovlige, men de har en etisk begrunnelse eller rammeverk. Teknisk sett dekker det også de som handler lovlig, men uetisk. Den gruppen er imidlertid mye mindre enn den første.

Problemet med black hat-hackere er at de ofrer uskyldige mennesker, bare gjør livet sitt. Det spiller ingen rolle om du er et sykehus med pasienter hvis liv henger i en tynn tråd hvis du er kritisk nasjonal infrastruktur, et kjernefysisk anlegg eller ansvarlig for pensjonene til millioner av mennesker. Alle er akseptable som et offer for dem fordi målet deres vanligvis er å tjene seg selv.

Metoden til hackere med grå hatter varierer, men ofte bruker de ulovlige handlinger mens de forsøker å minimere skaden deres handlinger forårsaker. Dette tar vanligvis form av å opptre som en hvit hatt , identifisere sårbarheter og ansvarlig avsløre dem, men kritisk gjøre det uten tillatelse.

Motivasjoner

En grå hatt er vanligvis motivert på samme måte som en hacker med hvit hatt. De ønsker å avsløre problemer for å forbedre sikkerheten for brukeren på en ansvarlig måte. Generelt finner de imidlertid at rettssystemet er for restriktivt og handler uten tillatelse. I flere tilfeller er dette gjort fordi det ikke var noen handling når riktig prosedyre ble fulgt eller fordi de hacket for moro skyld.

Mange tidlige datahackere ble motivert av å prøve å se hva som kunne gjøres. I mange tilfeller gjorde ikke disse hackerne noe ondsinnet. Teknisk sett ville de se på data, men det fantes ikke svarte markeder å selge dem på. Det var standard praksis for disse hackerne å "plante et flagg", som signaliserte at de hadde vært der, og deretter stoppe og gå videre. Ofte vil flagget være noe enkelt som en tekstfil som sier "X var her." Dette ville absolutt være ulovlig i moderne tid, men gjeldende lover eksisterte ikke da. Disse hackerne gjorde det vanligvis for moro skyld og gjorde generelt ikke mye skade. Som sådan kunne de kalles grå hatter, selv om de like godt kunne kalles svarte hatter.

Noen ganger, når en etisk hacker forsøker å rapportere en sikkerhetssårbarhet de har snublet over, blir de møtt med stillhet, oppsigelse eller vantro. Dette etterlater den etiske hackeren i et dilemma. Holder du alt hemmelig og håper at ingen hackere med black hat legger merke til feilen, eller publiserer du detaljene for å la potensielle ofre velge å ikke bruke det usikre systemet samtidig som du informerer de svarte hattene om problemet? Det er et vanskelig valg og etisk utfordrende.

Eksempler fra den virkelige verden

I 2013 oppdaget Khalil Shreateh, en sikkerhetsforsker, en sårbarhet som gjorde at en Facebook-bruker kunne legge ut innlegg som en annen bruker. Han hadde forsøkt å avsløre problemet tilstrekkelig gjennom Facebooks bug-bounty-program. Problemet ble imidlertid avvist som "ikke en feil." Frustrert og klar over den potensielle bruken av et slikt problem for svarte hatter, valgte han å utnytte dette problemet på en veldig merkbar måte.

Ved å påvirke Mark Zuckerbergs Facebook-side, begrenset han handlingens nedfall mens han tydelig sa hvor mye av et problem sårbarheten var. Facebook løste deretter problemet raskt. Det betalte ingen bug-premie, ettersom Khalil hadde overskredet restriksjonene på programmet. Den forsøkte heller ikke å fremsette anklager. Dette er et utmerket eksempel på at hackeren bestemmer seg for at målene rettferdiggjorde midlene, selv om midlene var ulovlige.

I år 2000 hacket to hackere, «{}» og «Hardbeat», inn på nettsiden til Apache-nettserveren. Hvis de var svarte hatter, kunne de i det stille ha satt opp ondsinnede nedlastinger i stedet for legitime. Enhver bruker som var uheldig nok til å installere webserveren før hacket ble oppdaget, ville ha blitt berørt. I stedet ødela de "bare" nettstedet og byttet ut noen bilder. Handlingene skadet ingen brukere og førte til direkte dialog, noe som resulterte i at problemet ble løst. Igjen var handlingene ulovlige, men i andres hender kunne situasjonen vært mye verre.

Å velge et "fortjent" offer

I noen tilfeller målretter gråhattehackere seg aktivt mot grupper de protesterer mot. Ofte er disse innvendingene kraftige og respektert av samfunnet for øvrig. Dette er ikke bare politiske grupper du er uenig med. Det pleier å være ting som grupper som støtter terrorisme, undertrykkende regimer, kriminelle organisasjoner eller pedofile ringer. Igjen, alle disse handlingene er ulovlige, men den grå hatten velger sine mål basert på et moralsk rammeverk som vanligvis er sosialt akseptabelt. De håper at deres innsats bidrar til å beskytte mennesker.

En grå lue som fungerer under dette prinsippet kan også betrakte seg selv som en slags Robin Hood-lignende figur. De kan til og med ta denne sammenligningen veldig bokstavelig, stjele penger fra sine utvalgte "fortjente" ofre, og deretter gi dem til en selvdefinert god sak. Hele dette konseptet er svært subjektivt. Noen mennesker kan være enige i at handlingene, selv om de er ulovlige, er etiske, mens andre kanskje ikke.

Konklusjon

En grå hatt er en hacker hvis handlinger og motivasjoner faller et sted mellom en svart og en hvit hatt-hacker. Vanligvis opererer de under prinsippet om at målene rettferdiggjør midlene. De får sikkerhetssårbarheter løst, men bryter vanligvis loven mens de gjør det. Denne handlingen skiller dem fra hvite hatter.

Omsorgen for å minimere nedfallet til ofrene, eller i noen tilfeller velge "fortjente" ofre, skiller dem fra svarte hatter. Det er viktig å forstå at til tross for at handlingene til en grå hatt er etisk forsvarlige, i det minste til en viss grad, vil mange jurisdiksjoner ikke vurdere dette hvis og når handlingene kommer til rettssak.