White hat (z ang. „biały kapelusz”), także white-hat hacker, etyczny haker – haker działający etycznie: za zgodą właściciela systemu włamuje się do oprogramowania lub infrastruktury po to, by zidentyfikować podatności i pomóc je usunąć, zanim wykorzystają je przestępcy. Przeciwieństwem white hata jest black hat – haker działający w złych zamiarach; pośrednią kategorię stanowi grey hat, który działa w dobrej wierze, ale nierzadko bez zgody właściciela systemu. Etyczni hakerzy pracują też w zespołach określanych jako red teamy lub tiger teamy.
Etymologia Podział na białe i czarne kapelusze wywodzi się ze schematu kolorystycznego westernów z lat 50. XX wieku, w których czarne charaktery nosiły czarne kapelusze, a bohaterowie pozytywni – białe lub inne jasne. Oxford English Dictionary notuje komputerowe znaczenie słowa white hat – osoby hakującej w celach nieszkodliwych lub altruistycznych – od 1990 roku. Wyrażenie white-hat hacker upowszechniło się pod koniec lat 90., a na początku XXI wieku zaczęło oznaczać zawodowych testerów zabezpieczeń.
Historia Za jeden z pierwszych udokumentowanych etycznych ataków hakerskich uchodzi przeprowadzona na zlecenie Sił Powietrznych Stanów Zjednoczonych ocena bezpieczeństwa systemu operacyjnego Multics, której wyniki opublikowano w 1974 roku. Autorzy testowali system tak, jak zrobiłby to realny intruz, i wykazali, że mimo istotnej przewagi założeń projektowych Multicsa nad innymi ówczesnymi systemami stosunkowo niewielki nakład pracy wystarczył, by znaleźć podatności w zabezpieczeniach sprzętowych, programowych i proceduralnych. W raporcie zwrócono przy tym uwagę na ograniczenie takich testów: zespół ekspertów sprawdzających zabezpieczenia (określany jako tiger team) może wykazać istnienie podatności, ale nie może dowieść ich nieistnienia.
Ideę oceniania bezpieczeństwa systemów metodami napastnika sformułowali Dan Farmer i Wietse Venema, którzy na początku lat 90. opisali, jak zebrać o celu ataku informacje wystarczające do złamania jego zabezpieczeń, a używane przez siebie narzędzia udostępnili publicznie w postaci pakietu SATAN (Security Administrator Tool for Analyzing Networks), szeroko komentowanego przez media. W 2016 roku amerykański Departament Obrony przeprowadził program „Hack the Pentagon” – pierwsze federalne bug bounty, w ramach którego zaproszeni badacze szukali luk w publicznych serwisach resortu.
Zakres działalności W praktyce zawodowej praca white hatów w dużej mierze pokrywa się z testami penetracyjnymi: etyczny haker symuluje ataki, którymi posłużyliby się przestępcy, aby zrozumieć, jak bronić systemów. Od działalności przestępczej odróżnia go nie technika, lecz autoryzacja, uzgodniony zakres i dyscyplina zawodowa – white hat porusza się w granicach ustalonych z klientem ram prawnych i etycznych. Obok ataków czysto technicznych etyczny test może obejmować socjotechnikę. Rośnie też rola programów bug bounty, w których firmy publicznie oferują nagrody za zgłaszane podatności.
Branża testów bezpieczeństwa zorganizowała się wokół organizacji zawodowych i uznanych kwalifikacji. Do najbardziej znanych certyfikacji należy Certified Ethical Hacker (CEH) organizacji EC-Council.
Sytuacja prawna Granicę między działaniem legalnym a przestępstwem wyznacza przede wszystkim zgoda właściciela systemu. W Wielkiej Brytanii nieautoryzowany dostęp – nawet w celu ujawnienia podatności dla dobra ogółu – pozostaje przestępstwem z Computer Misuse Act, zagrożonym karą do dwóch lat więzienia, a przy modyfikacji danych do dziesięciu. W Stanach Zjednoczonych badania bezpieczeństwa podlegają ustawie Computer Fraud and Abuse Act, jednak w 2022 roku Departament Sprawiedliwości ogłosił, że prowadzone w dobrej wierze badania bezpieczeństwa nie będą priorytetem ścigania. Belgia zalegalizowała etyczne hakowanie w lutym 2023 roku, w Niemczech projekt depenalizacji „paragrafu hakerskiego” przedstawiono w 2024 roku, ale nie został uchwalony. Chiny w 2021 roku zobowiązały podmioty wykrywające podatności do zgłaszania ich najpierw władzom w ciągu 48 godzin, co komentatorzy uznali za podporządkowanie pracy white hatów interesom państwa.
W Polsce ryzyko prawne dla testerów zabezpieczeń wiązało się głównie z art. 269b Kodeksu karnego, penalizującym wytwarzanie i udostępnianie „narzędzi hakerskich”. Nowelizacja z 2017 roku, uchwalona przy okazji przepisów o konfiskacie rozszerzonej, zaostrzyła sankcje tego przepisu, ale po protestach branży wprowadzono jednocześnie wyłączenia dla osób działających wyłącznie w celu zabezpieczenia systemów: kontratyp z art. 269b § 1a oraz klauzulę niepodlegania karze z art. 269c. W piśmiennictwie prawniczym wskazywano, że konstrukcja art. 269c nie realizuje w pełni swojego celu, i postulowano zawężenie zakresu ochrony wyłącznie do osób poszukujących luk bezpieczeństwa na własną rękę, o ile działają w warunkach symulacji. Zarazem w opinii prawnej przygotowanej dla środowiska bezpieczeństwa wskazywano, że polskie prawo nie kryminalizuje prowadzonego w dobrej wierze testowania zabezpieczeń, w tym udziału w programach bug bounty.
Przypisy
Kategoria:Bezpieczeństwo komputerowe Kategoria:Hakerstwo