Šedý klobouk - Grey hat

A šedý klobouk (greyhat nebo šedý klobouk) je počítačový hacker nebo zabezpečení počítače odborník, který může někdy porušovat zákony nebo typické etické standardy, ale nemá škodlivý záměr typický pro a Černý klobouk hacker.

Termín se začal používat na konci 90. let 20. století a je odvozen z pojmů „bílý klobouk " a "Černý klobouk „hackeři.^[1] Když hacker s bílým kloboukem objeví a zranitelnost, budou využívat pouze se svolením a neprozradit svou existenci, dokud nebude opravena, zatímco černý klobouk ji nelegálně zneužije a / nebo řekne ostatním, jak to udělat. Šedý klobouk ho ani nelegálně nezneužije, ani neřekne ostatním, jak to udělat.^[2]

Další rozdíl mezi těmito typy hackerů spočívá v metodách odhalování zranitelných míst. Bílý klobouk proniká do systémů a sítí na žádost jejich zaměstnavatele nebo s výslovným souhlasem za účelem zjištění, jak bezpečná je proti hackerům, zatímco černý klobouk pronikne do jakéhokoli systému nebo sítě za účelem odhalení citlivých informací pro osobní zisk . Šedý klobouk má obecně dovednosti a záměr bílého klobouku, ale bez povolení pronikne do jakéhokoli systému nebo sítě.^[3][4]

Podle jedné definice hackera s šedým kloboukem, když zjistí zranitelnost, mohou místo toho, aby řekli prodejci, jak exploit funguje, nabídnout opravu za malý poplatek. Když někdo úspěšně získá nelegální přístup k systému nebo síti, může navrhnout správci systému, aby byl k vyřešení problému najat některý z jeho přátel; tato praxe však klesá z důvodu rostoucí ochoty podniků stíhat. Další definice šedého klobouku tvrdí, že hackeři šedého klobouku pravděpodobně porušují zákon pouze ve snaze prozkoumat a zlepšit bezpečnost: zákonnost je stanovována podle konkrétních důsledků všech hacků, kterých se účastní.^[5]

V optimalizace pro vyhledávače (SEO) komunita, hackeři šedých klobouků jsou ti, kteří manipulují s hodnocením vyhledávačů na webových stránkách nesprávnými nebo neetickými prostředky, ale to se nepovažuje spam ve vyhledávači.^[6]

Dějiny

Fráze šedý klobouk byl poprvé veřejně použit v kontextu zabezpečení počítače, když DEF CON oznámil první naplánovaný Black Hat Briefings v roce 1996, i když to před touto dobou mohly používat menší skupiny.^[1][7] Na této konferenci byla navíc představena prezentace, na které Mudge, klíčový člen hackerské skupiny L0pht, diskutovali o svém záměru hackerů šedých klobouků poskytnout společnosti Microsoft objevy zranitelnosti za účelem ochrany obrovského počtu uživatelů jejího operačního systému.^[8] A konečně Mike Nash, ředitel skupiny serverů společnosti Microsoft, uvedl, že hackeři šedých klobouků jsou velmi podobní technickým lidem v nezávislém softwarovém průmyslu v tom smyslu, že „jsou cenní při poskytování zpětné vazby k vylepšování našich produktů“.^[9]

Fráze šedý klobouk byla použita hackerskou skupinou L0pht v rozhovoru z roku 1999 s The New York Times^[10] popsat jejich hackerské aktivity.

Fráze byla použita k popisu hackerů, kteří podporují etické podávání zpráv z zranitelnosti přímo na dodavatele softwaru na rozdíl od úplné zveřejnění praktiky, které převládaly v EU bílý klobouk komunita, že zranitelná místa nebudou odhalena mimo jejich skupinu.^[2]

V roce 2002 však Anti-Sec komunita zveřejnila použití tohoto výrazu k označení lidí, kteří pracují v bezpečnostním průmyslu ve dne, ale v noci se věnují aktivitám v černém klobouku.^[11] Ironií bylo, že u černých klobouků byla tato interpretace považována za hanlivý výraz; zatímco mezi bílými klobouky to byl termín, který propůjčoval pocit populární proslulosti.

V návaznosti na vzestup a případný pokles úplného zveřejnění vs. anti-sec. „Zlatá éra“ - a následný růst filozofie „etického hackerství“ - pojem šedý klobouk začal nabývat nejrůznějších významů. Stíhání v USA z Dmitrij Sklyarov pro činnosti, které byly v jeho domovské zemi legální, změnily postoje mnoha bezpečnostních výzkumníků. Jak se internet začal používat pro kritičtější funkce a narůstaly obavy z terorismu, začal se termín „bílý klobouk“ vztahovat na podnikové bezpečnostní odborníky, kteří nepodporovali úplné zveřejnění.^[12]

V roce 2008 EFF definoval šedé klobouky jako výzkumníky etické bezpečnosti, kteří neúmyslně nebo pravděpodobně porušují zákon ve snaze zkoumat a zlepšovat bezpečnost. Obhajují zákony o počítačových přestupcích, které jsou jasnější a užší.^[13]

Příklady

V dubnu 2000 získali hackeři známí jako „{}“ a „Hardbeat“ neoprávněný přístup Apache.org.^[14] Rozhodli se upozornit posádku Apache na problémy, místo aby se pokoušeli poškodit servery Apache.org.^[15]

V červnu 2010 skupina počítačových odborníků známá jako Goatse Security odhalil chybu AT&T zabezpečení, které umožňovalo e-mailové adresy uživatele iPad uživatelé budou odhaleni.^[16] Skupina odhalila bezpečnostní chybu médiím brzy po oznámení společnosti AT&T. Od té doby FBI zahájil vyšetřování incidentu a vpadl do domu Weev, nejvýznamnější člen nové skupiny.^[17]

V dubnu 2011 skupina odborníků zjistila, že Apple iPhone a 3G iPady „se přihlašují tam, kde uživatel navštíví“. Apple vydal prohlášení, že iPad a iPhone zaznamenávají pouze věže, ke kterým má telefon přístup.^[18] O této záležitosti bylo vydáno mnoho článků a byla považována za menší bezpečnostní problém. Tento případ by byl klasifikován jako „šedý klobouk“, protože ačkoli to odborníci mohli použít pro zákeřné úmysly, problém byl přesto nahlášen.^[19]

V srpnu 2013 hackl Khalil Shreateh, nezaměstnaný výzkumník počítačové bezpečnosti, stránku na Facebooku Mark Zuckerberg za účelem vynucení akce k nápravě chyby, kterou objevil, která mu umožňovala zveřejňovat na jakékoli stránce uživatele bez jejich souhlasu. Pokusil se opakovaně informovat Facebook o této chybě, ale Facebook mu řekl, že problém není chyba. Po tomto incidentu Facebook tuto chybu zabezpečení opravil, což mohla být mocná zbraň v rukou profesionálních spamerů. Shreateh nebyl kompenzován programem White Hat Facebooku, protože porušil jejich zásady, což z něj udělalo incident šedého klobouku.^[20]

Viz také

• Anonymní (skupina)
• Počítačová kriminalita
• Kybernetická válka
• Hacktivismus
• IT riziko
• Metasploit
• Neštěstí
• Penetrační test

Reference

Další čtení

• Daniel Regalado; Shon Harris; Allen Harper; Chris Eagle; Jonathan Ness; Branko Spasojevic; Ryan Linn & Stephen Sims (2015). Hackování šedých klobouků: Příručka etického hackera (4. vydání). New York: McGraw-Hill Education. ISBN  978-0-07-183238-0.
• A E (2014). Gray Hat SEO 2014: Nejúčinnější a nejbezpečnější techniky 10 vývojářů webu. Tajemství na vysoké úrovni, včetně nejrychlejších vymáhání pokut. Research & Co. JAKO V  B00H25O8RM.