Білий капелюх

Білий капелюх (англ. white hat) — термін, яким позначають хакера або експерта з комп'ютерної безпеки, який спеціалізується на тесті на проникнення і інших перевірках інформаційних систем^[1]. Багато джерел помилково пов'язують хакерську етику лише з білими капелюхами, хоча це поняття є ширшим^[2][3]. Назва як чорних, так і білих капелюхів походить з вестернів, де антагоністичні ковбої традиційно носять капелюхи цих кольорів^[en][4]. Білі хакери шукають уразливості на добровільній основі або за плату з метою допомогти розробникам зробити їх продукт більш захищеним.^[5] Тому важливим є уникнення негативної конотації слова хакер, оскільки їх діяльність не обов'язково передбачає порушення законодавства. Сам термін хакер — це швидше спеціаліст високого рівня з роботи інформаційних систем^[6]. Тому доцільніше говорити про «етичних» хакерів і кіберзлочинців^[7][8].

Білі капелюхи працюють у командах, що називаються: «sneakers»^[9], червоні команди (англ. Red team) та команди тигрів^[en] (англ. Tiger team).^[10]

Першою атакою білих капелюхів можна вважати «перевірку безпеки» операційної системи Multics, проведену повітряними силами США для подальшого «використання її, як дворівневої (таємної/дуже таємної) системи». За результатами тестування Multics виявилась «значно краще, ніж інші системи», але також вона мала «…вразливості в апаратній безпеці, безпеці програмного забезпечення та процедурній безпеці». Ці недоліки можна було виявити за допомогою «відносно малої кількості зусиль»^[11]. Атака проводилась в умовах, близьких до реальності, тому і результати показали ті вразливості, через які надалі міг відбутися напад. Учасники атаки виконували як напади для збору даних, так і прямі атаки, які могли б пошкодити систему.

Існує декілька відкритих звітів, що описують хакерську етику збройних сил США^[10].

До 1981 року Нью-Йорк Таймс описував білих капелюхів, як «шкідливу, але хибно позитивну хакерську традицію». Коли співробітник NCSS^[en] виявив можливість злому пароля, яку він використовував проти клієнтів, компанія покарала його не за сам злом, а за те, що не повідомив про це раніше. В листі про догану зазначено, що компанія «…заохочує працівників виявляти слабкі місця у програмному забезпеченні»^[12].

Вперше ідею перевірки безпеки за допомогою злому сформулювали Ден Фармер та Вієтс Венема^[en]. Маючи на меті покращити рівень безпеки Інтернету та Інтранету, вони описували те, як вони збирали достатню кількість інформації про свою ціль, щоб поставити її під загрозу. Також вони навели декілька конкретних прикладів, як цю інформацію можна використати для того, щоб отримати контроль над ціллю, та як запобігти такому нападу. Потім вони зібрали все, що було використано ними для нападу, в один файл і виклали його в відкритий доступ. Їх програма отримала назву Security Administrator Tool for Analyzing Networks^[en], або просто SATAN. У 1992 році ця подія була популярною темою у ЗМІ^[10].

До поширених методів атак належать:

• DoS-атаки
• метод соціальної інженерії
• w3af^[en]
• Nessus
• Nexpose
• Burpsuite
• Metasploit

Іноді компанії оголошують так звані «конкурси» на виявлення помилок в програмі, використовуючи програму Bug Bounty, що дозволяє як чорним, так і білим хакерам діяти цілком легально і без шкоди для компанії, щороку проводиться сотні таких конкурсів з можливістю заробити сотні тисяч доларів^[13]. Зазвичай білі хакери працюють в ІТ компаніях, що займаються кібербезпекою, використовуючи «тестування на проникнення» з метою знайти уразливі ділянки програмного забезпечення клієнта, це вимагає високого рівня навичок і знань, тому їх кількість дуже незначна^[13].

Цей розділ потребує доповнення. (Квітень 2018)

• Ризик (інформаційна безпека)
• Хакерська етика
• Bug Bounty
• Полювання на кіберзагрози
• Сірий капелюх
• Чорний капелюх

1. ↑ What is white hat? - a definition from Whatis.com. Searchsecurity.techtarget.com. Архів оригіналу за 1 лютого 2011. Процитовано 6 червня 2012.
2. ↑ Ward, Mark (14 вересня 1996). [http://www.newscientist .com/article/mg15120471-700-sabotage-in-cyberspace-the-threat-to-national-security-from-computer-terrorists-is-vastly-overblown-most-hackers-are-after-nothing-more-than-an-intellectual-thrill/ Sabotage in cyberspace]. New Scientist. 151 (2047).^{[недоступне посилання з червня 2019]}
3. ↑ Knight, William (16 жовтня 2009). License to Hack. InfoSecurity. 6 (6): 38—41. doi:10.1016/s1742-6847(09)70019-9. Архів оригіналу за 9 січня 2014. Процитовано 1 квітня 2018.
4. ↑ Wilhelm, Thomas; Andress, Jason (2010). Ninja Hacking: Unconventional Penetration Testing Tactics and Techniques. Elsevier. с. 26—7. Архів оригіналу за 23 березня 2019. Процитовано 1 квітня 2018.
5. ↑ Зануда, Анастасія (22 жовтня 2018). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (брит.). Архів оригіналу за 13 квітня 2019. Процитовано 2 листопада 2019.
6. ↑ Дмитрий Ганжело о хакерах, защите гаджетов и кибербезопасности в Украине | InDevLab. indevlab.com (ru-RU) . Архів оригіналу за 18 жовтня 2019. Процитовано 16 листопада 2019.
7. ↑ Зануда, Анастасія (22 жовтня 2018). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (брит.). Архів оригіналу за 13 квітня 2019. Процитовано 16 листопада 2019.
8. ↑ Malik, Keshav (13 грудня 2021). Top 3 Penetration Testing Providers: Everything You Must Know. www.getastra.com (амер.). Архів оригіналу за 8 січня 2022. Процитовано 8 січня 2022.
9. ↑ What is a White Hat?. Secpoint.com. 20 березня 2012. Архів оригіналу за 2 травня 2019. Процитовано 6 червня 2012.
10. ↑ ^{а б в} Palmer, C.C. (2001). Ethical Hacking (PDF). IBM Systems Journal. 40 (3): 769. doi:10.1147/sj.403.0769. Архів оригіналу (PDF) за 2 травня 2019. Процитовано 1 квітня 2018.
11. ↑ Paul A. Karger, Roger R. Scherr (June 1974). MULTICS SECURITY EVALUATION: VULNERABILITY ANALYSIS (PDF) (Звіт). Архів оригіналу (PDF) за 13 листопада 2017. Процитовано 12 листопада 2017.
12. ↑ McLellan, Vin (26 липня 1981). Case of the Purloined Password. The New York Times. Архів оригіналу за 7 березня 2016. Процитовано 11 August 2015.
13. ↑ ^{а б} Білі хакери - хто вони?. indevlab.com (укр.). Архів оригіналу за 16 листопада 2019. Процитовано 16 листопада 2019.