Vad är en grå hatt?

Lagen tenderar att vara väldigt svart-vit när det kommer till lagligheten av saker som hacking. Antingen är något – eller inte – ett brott. Etiken kan dock vara mycket mer nyanserad. Även om etiken i något kan tas i beaktande i en kriminell miljö, antingen med bristande verkställighet eller mildare straff, är detta inte garanterat på något sätt.

Termen grey hat hacker syftar på hackare som går på denna lina. Ofta är deras handlingar olagliga, men de har någon etisk motivering eller ram. Tekniskt sett omfattar det även de som agerar lagligt men oetiskt. Den gruppen är dock mycket mindre än den första.

Problemet med hackare med svart hatt är att de utsätter oskyldiga människor till offer, bara går om sina liv. Det spelar ingen roll om du är ett sjukhus med patienter vars liv hänger i balans om du är kritisk nationell infrastruktur, en kärnkraftsanläggning eller ansvarig för miljoner människors pensioner. Vem som helst är acceptabel som offer för dem eftersom deras mål vanligtvis är att gynna sig själva.

Tillvägagångssättet för hackers med grå hattar varierar, men ofta använder de olagliga handlingar samtidigt som de försöker minimera skadan som deras handlingar orsakar. Detta tar vanligtvis formen av att agera som en vit hatt , identifiera sårbarheter och ansvarsfullt avslöja dem, men kritiskt göra det utan tillstånd.

Motivationer

En grå hatt är vanligtvis motiverad på samma sätt som en hacker med vit hatt. De vill avslöja problem för att förbättra säkerheten för användaren på ett ansvarsfullt sätt. I allmänhet anser de dock att rättssystemet är för restriktivt och agerar utan tillstånd. I flera fall görs detta för att det inte gjordes någon åtgärd när rätt procedur följdes eller för att de hackade på skoj.

Många tidiga datorhackare motiverades av att försöka se vad som kunde göras. I många fall har dessa hackare inte gjort något skadligt. Tekniskt sett skulle de titta på data, men det fanns inga svarta marknader att sälja dem på. Det var standardpraxis för dessa hackare att "plantera en flagga" och signalera att de hade varit där och sedan stanna och gå vidare. Ofta är flaggan något enkelt som en textfil som säger "X var här." Detta skulle förvisso vara olagligt i modern tid, men de tillämpliga lagarna fanns inte då. Dessa hackare gjorde det vanligtvis för skojs skull och gjorde i allmänhet inte mycket skada. Som sådana kunde de kallas grå hattar, även om de lika gärna kunde kallas svarta hattar.

Ibland, när en etisk hackare försöker rapportera en säkerhetsrisk som de har snubblat över, möts de av tystnad, uppsägning eller misstro. Detta lämnar sedan den etiska hackaren i ett dilemma. Håller du allt hemligt och hoppas att inga hackare med svart hatt märker bristen, eller publicerar du detaljerna för att potentiella offer ska kunna välja att inte använda det osäkra systemet samtidigt som du informerar de svarta hattarna om problemet? Det är ett svårt val och etiskt utmanande.

Verkliga exempel

År 2013 upptäckte Khalil Shreateh, en säkerhetsforskare, en sårbarhet som gjorde det möjligt för en Facebook-användare att göra inlägg som en annan användare. Han hade försökt avslöja problemet på ett adekvat sätt genom Facebooks bug-bounty-program. Problemet avvisades dock som "inte ett fel." Frustrerad och medveten om den potentiella användningen av ett sådant problem för svarta hattar, valde han att utnyttja detta problem på ett mycket märkbart sätt.

Genom att påverka Mark Zuckerbergs Facebook-sida begränsade han sina handlingars nedfall samtidigt som han tydligt angav hur mycket av ett problem sårbarheten var. Facebook fixade sedan snabbt problemet. Det betalade ingen buggpremie, eftersom Khalil hade överskridit begränsningarna för programmet. Den försökte inte heller driva på åtal. Detta är ett utmärkt exempel på att hackaren beslutar sig för att målen motiverade medlen, även om medlen var olagliga.

År 2000 hackade två hackare, "{}" och "Hardbeat", in på Apaches webbservers webbplats. Om de var svarta hattar, kunde de tyst ha satt upp skadliga nedladdningar i stället för legitima. Alla användare som hade otur att installera webbservern innan hacket upptäcktes skulle ha drabbats. Istället förstörde de "bara" webbplatsen och bytte ut några bilder. Åtgärderna skadade inte några användare och ledde till direkt dialog, vilket resulterade i att problemet åtgärdades. Återigen var åtgärderna olagliga, men i någon annans händer kunde situationen ha varit mycket värre.

Att välja ett "förtjänt" offer

I vissa fall riktar hackare av gråhattar sig aktivt mot grupper som de protesterar mot. Ofta är dessa invändningar kraftfulla och respekteras av samhället i stort. Det här är inte bara politiska grupper som du inte håller med om. Det brukar vara saker som grupper som stödjer terrorism, repressiva regimer, kriminella organisationer eller pedofilringar. Återigen, alla dessa handlingar är olagliga, men den grå hatten väljer sina mål baserat på en moralisk ram som vanligtvis är socialt acceptabel. De hoppas att deras insatser hjälper till att skydda människor.

En grå hatt som fungerar enligt denna princip kan också betrakta sig som en sorts Robin Hood-liknande figur. De kan till och med ta denna jämförelse väldigt bokstavligt, stjäla pengar från sina utvalda "förtjänta" offer och sedan ge dem till en självdefinierad god sak. Hela detta koncept är mycket subjektivt. Vissa människor kanske håller med om att handlingar, även om de är olagliga, är etiska, medan andra kanske inte.

Slutsats

En grå hatt är en hacker vars handlingar och motiv hamnar någonstans mellan en svart och en vit hatthacker. Vanligtvis verkar de enligt principen att målen rättfärdigar medlen. De får säkerhetsbrister lösta men bryter vanligtvis mot lagen när de gör det. Denna åtgärd skiljer dem från vita hattar.

Omsorgen för att minimera nedfallet för offren, eller i vissa fall att välja "förtjänta" offer, skiljer dem från svarta hattar. Det är viktigt att förstå att trots att en grå hatts handlingar är etiskt försvarbara, åtminstone till viss del, kommer många jurisdiktioner inte att överväga detta om och när handlingarna kommer till rättegång.