Čo je to šedý klobúk?

Zákon má tendenciu byť veľmi čiernobiely, pokiaľ ide o legálnosť vecí, ako je hackovanie. Buď niečo je – alebo nie je – zločin. Etika však môže byť oveľa jemnejšia. Zatiaľ čo etika niečoho sa môže brať do úvahy v kriminálnom prostredí, či už pri nedostatočnom presadzovaní alebo miernejších trestoch, nie je to žiadnym spôsobom zaručené.

Termín grey hat hacker označuje hackerov, ktorí kráčajú po tomto lane. Ich činy sú často nezákonné, no majú nejaké etické opodstatnenie alebo rámec. Technicky sa vzťahuje aj na tých, ktorí konajú legálne, ale neeticky. Táto skupina je však oveľa menšia ako prvá.

Problém s black hat hackermi je v tom, že sa stávajú obeťami nevinných ľudí, len si idú o život. Nezáleží na tom, či ste nemocnica s pacientmi, ktorých životy visia na vlásku, či ste kľúčovou národnou infraštruktúrou, jadrovým zariadením alebo ste zodpovední za dôchodky miliónov ľudí. Ktokoľvek je pre nich prijateľný ako obeť, pretože ich cieľom je zvyčajne mať prospech pre seba.

Spôsob práce hackerov s šedým klobúkom sa líši, ale často používajú nezákonné činy, pričom sa snažia minimalizovať škody, ktoré ich činy spôsobujú. Zvyčajne to má podobu bieleho klobúka , identifikácie zraniteľných miest a ich zodpovedného odhaľovania, no kriticky to robí bez povolenia.

Motivácie

Sivý klobúk je zvyčajne motivovaný podobne ako hacker s bielym klobúkom. Chcú zverejniť problémy, aby zvýšili bezpečnosť pre používateľa zodpovedne. Vo všeobecnosti však považujú právny systém za príliš obmedzujúci a konajú bez povolenia. V niekoľkých prípadoch sa to robí preto, že pri dodržaní správneho postupu nedošlo k žiadnej akcii alebo preto, že hackovali pre zábavu.

Mnoho prvých počítačových hackerov bolo motivovaných snahou zistiť, čo sa dá urobiť. V mnohých prípadoch títo hackeri neurobili nič škodlivé. Technicky by sa pozerali na dáta, ale neexistovali čierne trhy, na ktorých by sa dali predať. Pre týchto hackerov bolo štandardnou praxou „zavesiť vlajku“, čím signalizujú, že tam boli, a potom sa zastavili a pokračovali ďalej. Príznak by bol často niečo jednoduché, napríklad textový súbor s textom „X bolo tu“. V modernej dobe by to bolo určite nezákonné, ale platné zákony vtedy neexistovali. Títo hackeri to zvyčajne robili pre zábavu a vo všeobecnosti nenarobili veľa škody. Ako také by sa dali nazvať šedými klobúkmi, hoci by sa mohli rovnako dobre nazvať čiernymi klobúkmi.

Niekedy, keď sa etický hacker pokúsi nahlásiť bezpečnostnú chybu, na ktorú narazil, stretne sa s mlčaním, prepustením alebo neverou. To potom necháva etického hackera v ťažkostiach. Udržiavate všetko v tajnosti a dúfate, že žiadni black hat hackeri si chybu nevšimnú, alebo zverejníte podrobnosti, aby ste potenciálnym obetiam umožnili rozhodnúť sa nepoužívať nezabezpečený systém a zároveň o probléme informovať čierne klobúky? Je to ťažká voľba a eticky náročná.

Príklady zo skutočného sveta

V roku 2013 Khalil Shreateh, bezpečnostný výskumník, objavil zraniteľnosť, ktorá umožňovala jednému používateľovi Facebooku uverejňovať príspevky ako iný používateľ. Pokúsil sa problém primerane zverejniť prostredníctvom programu odmeny chýb Facebooku. Problém bol však zamietnutý ako „nie je chyba“. Frustrovaný a vedomý si potenciálneho využitia takéhoto problému pre čierne klobúky, rozhodol sa využiť tento problém veľmi nápadným spôsobom.

Ovplyvnením facebookovej stránky Marka Zuckerberga obmedzil dopad svojich činov a zároveň jasne uviedol, aký veľký problém bola táto zraniteľnosť. Facebook potom problém rýchlo vyriešil. Nevyplatila sa žiadna odmena za chyby, pretože Khalil prekročil obmedzenia programu. Taktiež sa nepokúsila vzniesť obvinenia. Toto je vynikajúci príklad rozhodnutia hackera, že účel ospravedlňuje prostriedky, hoci prostriedky boli nezákonné.

V roku 2000 sa dvaja hackeri, „{}“ a „Hardbeat“, nabúrali na webovú stránku webového servera Apache. Ak by to boli čierne klobúky, mohli pokojne nastaviť škodlivé sťahovanie namiesto legitímnych. Ovplyvnený by bol každý používateľ, ktorý by nemal to šťastie, že si nainštaloval webový server pred objavením hacku. Namiesto toho „iba“ znehodnotili webovú stránku a vymenili niektoré obrázky. Akcie nepoškodili žiadnych používateľov a viedli k priamemu dialógu, čo viedlo k vyriešeniu problému. Akcie boli opäť nezákonné, ale v rukách niekoho iného mohla byť situácia oveľa horšia.

Výber „zaslúženej“ obete

V niektorých prípadoch sa hackeri šedej klobúka aktívne zameriavajú na skupiny, voči ktorým majú námietky. Tieto námietky sú často silné a spoločnosť ako celok ich rešpektuje. Toto nie sú len politické skupiny, s ktorými nesúhlasíte. Sú to veci ako skupiny podporujúce terorizmus, represívne režimy, zločinecké organizácie alebo pedofilné kruhy. Všetky tieto činy sú opäť nezákonné, ale sivý klobúk si vyberá svoje ciele na základe morálneho rámca, ktorý je zvyčajne spoločensky prijateľný. Dúfajú, že ich úsilie pomôže chrániť ľudí.

Sivý klobúk, ktorý funguje na tomto princípe, sa môže považovať za akúsi postavu podobnú Robinovi Hoodovi. Môžu dokonca brať toto prirovnanie veľmi doslovne, ukradnúť peniaze svojim vybraným „zaslúžilým“ obetiam a potom ich dať na seba-definovanú dobrú vec. Celý tento koncept je veľmi subjektívny. Niektorí ľudia môžu súhlasiť s tým, že činy, hoci sú nezákonné, sú etické, zatiaľ čo iní nie.

Záver

Šedý klobúk je hacker, ktorého činy a motivácia spadajú niekde medzi čierneho a bieleho klobúka. Zvyčajne fungujú na princípe, že účel svätí prostriedky. Vyriešia sa im bezpečnostné nedostatky, ale zvyčajne pri tom porušujú zákon. Táto akcia ich odlišuje od bielych klobúkov.

Starostlivosť o minimalizáciu dopadu na obete alebo v niektorých prípadoch o výber obetí, ktoré si to zaslúžia, ich oddeľuje od čiernych klobúkov. Je nevyhnutné pochopiť, že napriek tomu, že činy šedého klobúka sú eticky oprávnené, aspoň do určitej miery, mnohé jurisdikcie to nebudú brať do úvahy, ak a keď sa činy dostanú pred súd.