Серая шляпа ( greyhat или Grey Hat ) — компьютерный хакер или эксперт по компьютерной безопасности , который иногда может нарушать законы или типичные этические нормы , но обычно не имеет злого умысла, типичного для хакера в черной шляпе .
Этот термин вошел в употребление в конце 1990-х годов и произошел от понятий « хакеров в белой шляпе » и « хакеров в черной шляпе ». [1] Когда хакер «белой шляпы» обнаруживает уязвимость , он будет использовать ее только с разрешения и не разглашать ее существование, пока она не будет исправлена, тогда как хакер «черной шляпы» будет незаконно использовать ее и/или рассказывать другим, как это сделать. Серая шляпа не будет ни использовать его незаконно, ни указывать другим, как это делать. [2]
Еще одно различие между этими типами хакеров заключается в их методах обнаружения уязвимостей. «Белая шляпа» взламывает системы и сети по запросу работодателя или с явного разрешения с целью определить, насколько она защищена от хакеров, тогда как «черная шляпа» взламывает любую систему или сеть, чтобы раскрыть конфиденциальную информацию для личной выгоды. . «Серая шляпа» обычно обладает навыками и намерениями «белой шляпы», но может без разрешения проникнуть в любую систему или сеть. [3] [4]
Согласно одному из определений серого хакера, когда он обнаруживает уязвимость, вместо того, чтобы рассказывать продавцу, как работает эксплойт, он может предложить исправить ее за небольшую плату. Когда кто-то получает незаконный доступ к системе или сети, он может предложить системному администратору нанять одного из своих друзей для решения проблемы; однако эта практика сокращается из-за растущей готовности предприятий возбуждать судебное преследование. Другое определение «серой шляпы» утверждает, что хакеры «серой шляпы» нарушают закон только в попытке исследовать и улучшить безопасность: законность устанавливается в соответствии с конкретными последствиями любых взломов, в которых они участвуют. [5]
В сообществе поисковой оптимизации (SEO) хакеры «серой шляпы» — это те, кто манипулирует рейтингом веб-сайтов в поисковых системах, используя ненадлежащие или неэтичные средства, но это не считается спамом в поисковых системах . [6]
Недавнее исследование изучило психологические характеристики людей, которые участвуют во взломе на работе. Результаты показывают, что хакеры в «серой шляпе» обычно идут против власти, хакеры в «черной шляпе» имеют сильную склонность к поиску острых ощущений, а хакеры в «белой шляпе» часто проявляют нарциссические черты. [7]
Фраза «серая шляпа» впервые была публично использована в контексте компьютерной безопасности, когда DEF CON объявил о первых запланированных брифингах Black Hat в 1996 году, хотя до этого времени она, возможно, использовалась небольшими группами. [1] [8] Кроме того, на этой конференции была представлена презентация, в которой Мадж, ключевой член хакерской группы L0pht , обсудил их намерение как серых хакеров предоставить Microsoft обнаруженные уязвимости, чтобы защитить огромное количество пользователей. своей операционной системы. [9] Наконец, Майк Нэш, директор группы серверов Microsoft, заявил, что хакеры в серых шляпах во многом похожи на технических специалистов в независимой индустрии программного обеспечения в том смысле, что «они ценны, предоставляя нам обратную связь, чтобы сделать наши продукты лучше». [10]
Фраза «серая шляпа» использовалась хакерской группой L0pht в интервью The New York Times в 1999 году [11] для описания своей хакерской деятельности.
Эта фраза использовалась для описания хакеров, которые поддерживают этическое сообщение об уязвимостях непосредственно поставщику программного обеспечения, в отличие от практики полного раскрытия информации , которая была распространена в сообществе «белых шляп» , согласно которой уязвимости не должны раскрываться за пределами их группы. [2]
Однако в 2002 году сообщество Anti-Sec опубликовало использование этого термина для обозначения людей, которые днем работают в сфере безопасности, а ночью занимаются черной деятельностью. [12] Ирония заключалась в том, что для черных шляп эта интерпретация рассматривалась как уничижительный термин; тогда как среди белых шляп этот термин давал ощущение народной известности.
После подъема и последующего упадка концепции полного раскрытия информации по сравнению с «золотой эрой» антисекса – и последующего роста философии «этического хакерства» – термин « серая шляпа» начал приобретать самые разные значения. Преследование в США Дмитрия Склярова за деятельность, которая была законной в его родной стране, изменило отношение многих исследователей безопасности. Поскольку Интернет стал использоваться для более важных функций, а опасения по поводу терроризма возросли, термин «белая шляпа» начал относиться к экспертам по корпоративной безопасности, которые не поддерживали полное раскрытие информации. [13]
В 2008 году EFF определил «серых шляп» как исследователей этической безопасности, которые непреднамеренно или намеренно нарушают закон в попытке исследовать и улучшить безопасность. Они выступают за более ясные и более узкие законы о компьютерных преступлениях. [14]
В апреле 2000 года хакеры, известные как «{}» и «Hardbeat», получили несанкционированный доступ к Apache.org . [15] Они решили предупредить команду Apache о проблемах, а не пытаться повредить серверы Apache.org. [16]
В июне 2010 года группа компьютерных экспертов, известная как Goatse Security, обнаружила брешь в системе безопасности AT&T , которая позволила раскрыть адреса электронной почты пользователей iPad . [17] Группа сообщила СМИ об уязвимости вскоре после уведомления AT&T. С тех пор ФБР начало расследование инцидента и совершило обыск в доме Вив , самого известного члена новой группировки. [18]
В апреле 2011 года группа экспертов обнаружила, что Apple iPhone и iPad 3G «регистрируют места посещений пользователя». Apple опубликовала заявление, в котором говорится, что iPad и iPhone регистрируют только те башни, к которым может получить доступ телефон. [19] По этому поводу было опубликовано множество статей, и это рассматривалось как незначительная проблема безопасности. Этот случай будет классифицирован как «серая шляпа», поскольку, хотя эксперты могли использовать его со злым умыслом, о проблеме, тем не менее, было сообщено. [20]
В августе 2013 года Халил Шритех, безработный исследователь компьютерной безопасности, взломал страницу Марка Цукерберга в Facebook , чтобы заставить его принять меры по исправлению обнаруженной им ошибки, которая позволяла ему публиковать сообщения на страницах любого пользователя без его согласия. Он неоднократно пытался сообщить Facebook об этой ошибке, но Facebook ответил, что проблема не является ошибкой. После этого инцидента Facebook исправил эту уязвимость, которая могла стать мощным оружием в руках профессиональных спамеров . Шриатех не получил компенсации от программы Facebook White Hat, поскольку он нарушил их политику, что превратило этот инцидент в серую шляпу. [21]