Білий капелюх

Матеріал з Вікіпедії — вільної енциклопедії.
Перейти до навігації Перейти до пошуку

Білий капелюх (англ. white hat) — термін, яким позначають хакера або експерта з комп'ютерної безпеки, який спеціалізується на тесті на проникнення і інших перевірках інформаційних систем[1]. Багато джерел помилково пов'язують хакерську етику лише з білими капелюхами, хоча це поняття є ширшим[2][3]. Назва як чорних, так і білих капелюхів походить з вестернів, де антагоністичні ковбої традиційно носять капелюхи цих кольорів[en][4]. Білі хакери шукають уразливості на добровільній основі або за плату з метою допомогти розробникам зробити їх продукт більш захищеним.[5] Тому важливим є уникнення негативної конотації слова хакер, оскільки їх діяльність це не обов'язково передбачає порушення законодавства, сам термін хакер — це швидше спеціаліст високого рівня з роботи інформаційних систем[6]. Тому доцільніше говорити про «етичних» хакерів і кіберзлочинців[7].

Білі капелюхи працюють у командах, що називаються: «sneakers»[8], червоні команди[en] (англ. Red team) та команди тигрів[en] (англ. Tiger team).[9]

Історія[ред. | ред. код]

Першою атакою білих капелюхів можна вважати «перевірку безпеки» операційної системи Multics, проведену повітряними силами США для подальшого «використання її, як дворівневої (таємної/дуже таємної) системи». По результатам тестування Multics виявилась «значно краще, ніж інші системи», але також вона мала «…вразливості в апаратній безпеці, безпеці програмного забезпечення та процедурній безпеці». Ці недоліки можна було виявити за допомогою «відносно малої кількості зусиль»[10]. Атака проводилась в умовах, близьких до реальності, тому і результати показали ті вразливості, через які в подальшому міг відбутися напад. Учасники атаки виконували як напади для збору даних, так і прямі атаки, які могли б пошкодити систему.

Існує декілька відкритих звітів, що описують хакерську етику збройних сил США[9].

До 1981 року Нью-Йорк Таймс описував білих капелюхів, як «шкідливу, але хибно позитивну хакерську традицію». Коли співробітник NCSS[en] виявив можливість злому пароля, яку він використовував проти клієнтів, компанія покарала його не за сам злом, а за те, що не повідомив про це раніше. В листі про догану зазначено, що компанія «…заохочує працівників виявляти слабкі місця у програмному забезпеченні»[11].

Вперше ідею перевірки безпеки за допомогою злому сформулювали Ден Фармер та Вієтс Венема[en]. Маючи на меті покращити рівень безпеки Інтернету та Інтранету, вони описували те, як вони збирали достатню кількість інформації про свою ціль, щоб поставити її під загрозу. Також вони навели декілька конкретних прикладів, як цю інформацію можна використати для того, щоб отримати контроль над ціллю, та як запобігти такому нападу. Потім вони зібрали все, що було використано ними для нападу, в один файл і виклали його в відкритий доступ. Їх програма отримала назву Security Administrator Tool for Analyzing Networks[en], або просто SATAN. У 1992 році ця подія була популярною темою у ЗМІ[9].

Тактика[ред. | ред. код]

До поширених методів атак належать:

Діяльність[ред. | ред. код]

Іноді компанії оголошують так звані «конкурси» на виявлення помилок в програмі, використовуючи програму Bug Bounty, що дозволяє як чорним так і білим хакерам діяти цілком легально і без шкоди для компанії, щороку проводиться сотні таких конкурсів з можливістю заробити сотні тисяч доларів[12]. Зазвичай білі хакери працюють в ІТ компаніях, що займаються кібербезпекою, використовуючи «тестування на проникнення» з метою знайти уразливі ділянки програмного забезпечення клієнта, це вимагає високого рівня навичок і знань, тому їх кількість дуже незначна[12].

Білий хакінг в Україні[ред. | ред. код]

Див. також[ред. | ред. код]

Джерела[ред. | ред. код]

  1. What is white hat? - a definition from Whatis.com. Searchsecurity.techtarget.com. Процитовано 2012-06-06. 
  2. Ward, Mark (14 September 1996). [http://www.newscientist .com/article/mg15120471-700-sabotage-in-cyberspace-the-threat-to-national-security-from-computer-terrorists-is-vastly-overblown-most-hackers-are-after-nothing-more-than-an-intellectual-thrill/ Sabotage in cyberspace]. New Scientist 151 (2047). [недоступне посилання з червня 2019]
  3. Knight, William (16 October 2009). License to Hack. InfoSecurity 6 (6): 38–41. doi:10.1016/s1742-6847(09)70019-9. 
  4. Wilhelm, Thomas; Andress, Jason (2010). Ninja Hacking: Unconventional Penetration Testing Tactics and Techniques. Elsevier. с. 26–7. 
  5. Зануда, Анастасія (2018-10-22). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (en-GB). Процитовано 2019-11-02. 
  6. Дмитрий Ганжело о хакерах, защите гаджетов и кибербезопасности в Украине | InDevLab. indevlab.com (ru-RU). Процитовано 2019-11-16. 
  7. Зануда, Анастасія (2018-10-22). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (en-GB). Процитовано 2019-11-16. 
  8. What is a White Hat?. Secpoint.com. 2012-03-20. Процитовано 2012-06-06. 
  9. а б в Palmer, C.C. (2001). Ethical Hacking. IBM Systems Journal 40 (3): 769. doi:10.1147/sj.403.0769. 
  10. Paul A. Karger, Roger R. Scherr (June 1974). MULTICS SECURITY EVALUATION: VULNERABILITY ANALYSIS. Процитовано 12 Nov 2017. 
  11. McLellan, Vin (1981-07-26). Case of the Purloined Password. The New York Times. Процитовано 11 August 2015. 
  12. а б Білі хакери - хто вони?. indevlab.com (uk). Процитовано 2019-11-16.