Grey hat

Grey hat (pisane także gray hat, dosł. „szary kapelusz”) – haker lub badacz bezpieczeństwa komputerowego, który działa bez zgody właściciela systemu, ale bez złych intencji charakterystycznych dla przestępców komputerowych; pojęcie pośrednie między white hat (działającym legalnie i za zgodą) a black hat (działającym bezprawnie dla własnej korzyści)^[1][2]. Typowy scenariusz działania grey hat to włamanie do systemu lub odnalezienie luki bez upoważnienia, a następnie poinformowanie o niej właściciela – niekiedy wraz z ofertą odpłatnej naprawy^[3].

Określenia „kapeluszy” w kulturze hakerskiej nawiązują do konwencji westernów, w których pozytywni bohaterowie nosili białe, a czarne charaktery – czarne kapelusze^[2]. Termin grey hat zaczął funkcjonować publicznie w drugiej połowie lat 90., wraz z pierwszą konferencją Black Hat Briefings zapowiedzianą przez organizatorów konferencji DEF CON w 1996 roku^[4]. Podczas tej konferencji Mudge, czołowy członek grupy hakerskiej L0pht, opisywał zamiar przekazywania Microsoftowi informacji o wykrywanych lukach właśnie jako działanie hakerów „szarych kapeluszy”, mające chronić użytkowników systemów tej firmy^[5]. W druku termin pojawił się po raz pierwszy w 1999 roku, w wywiadzie grupy L0pht dla „The New York Timesa”^[6].

W 2002 roku środowisko Anti-Sec używało określenia grey hat odwrotnie – pogardliwie, wobec osób, które za dnia pracują w branży bezpieczeństwa, a nocą podejmują działania typowe dla black hat^[7]. W 2008 roku Electronic Frontier Foundation zdefiniowała grey hats jako badaczy działających etycznie, którzy w toku badań nad bezpieczeństwem nieumyślnie lub w sposób dyskusyjny naruszają prawo, i opowiedziała się za precyzyjniejszymi przepisami o przestępczości komputerowej^[8].

Według podręcznika Gray Hat Hacking różnica sprowadza się do postępowania z odkrytą luką: white hat wykorzystuje ją wyłącznie za zgodą i nie ujawnia do czasu naprawienia, black hat wykorzystuje ją bezprawnie lub uczy tego innych, natomiast grey hat nie robi żadnej z tych rzeczy, choć samą lukę mógł znaleźć bez upoważnienia^[1]. Przewodnik bezpieczeństwa firmy Red Hat akcentuje z kolei kwestię zgody: grey hat ma umiejętności i intencje white hata, ale włamuje się do systemów bez pozwolenia^[2]. Robert Moore zwraca uwagę, że część definicji uznaje za grey hat osoby, których działania naruszają prawo jedynie w sposób dyskusyjny, w celu badania i poprawy bezpieczeństwa^[3]. Badanie psychologiczne z 2021 roku wykazało, że hakerzy grey hat wykazują ponadprzeciętną skłonność do sprzeciwu wobec autorytetów^[9].

W kwietniu 2000 roku hakerzy o pseudonimach „{}” i „Hardbeat” uzyskali nieuprawniony dostęp do serwerów projektu Apache; zamiast wyrządzić szkody, poinformowali zespół Apache o problemach konfiguracyjnych, które umożliwiły włamanie^[10]. W 2010 roku grupa Goatse Security ujawniła lukę w serwisie AT&T, która pozwalała pozyskać adresy e-mail użytkowników iPadów; po powiadomieniu operatora grupa opisała sprawę mediom, a FBI wszczęło śledztwo przeciwko jej członkom^[11].

Szeroko opisywanym przykładem działania grey hat była sprawa Khalila Shreateha, bezrobotnego badacza z Palestyny, który w sierpniu 2013 roku – po tym, jak zespół bezpieczeństwa Facebooka zignorował jego zgłoszenia – zademonstrował odkrytą przez siebie lukę, publikując wpis bezpośrednio na tablicy Marka Zuckerberga. Luka pozwalała pisać na tablicy dowolnego użytkownika i została po incydencie naprawiona, ale Shreateh nie otrzymał nagrody z programu bug bounty, ponieważ złamał regulamin serwisu^[12][13].

Działalność grey hat pozostaje w napięciu z wypracowanymi w branży modelami ujawniania podatności: skoordynowanym ujawnianiem (coordinated vulnerability disclosure), w którym badacz przekazuje informacje producentowi i daje mu czas na przygotowanie poprawki, oraz polityką pełnego ujawnienia, zakładającą publikację szczegółów luki bez względu na stan poprawek^[14]. Procedury przyjmowania i obsługi zgłoszeń o podatnościach ujęto także w normie ISO/IEC 29147^[15]. Grey hat z definicji działa jednak bez zgody właściciela systemu, przez co nawet zgłoszenie luki w dobrej wierze może narazić go na odpowiedzialność karną^[8].

W Polsce ryzyko to wiąże się z przepisami kodeksu karnego dotyczącymi bezprawnego uzyskania dostępu do systemu i tzw. narzędzi hakerskich (art. 267 i 269b); w 2013 roku opisywano przypadek zatrzymania mężczyzny, który zgłosił urzędnikowi wykrytą lukę^[16]. W 2017 roku wprowadzono do kodeksu karnego kontratyp (art. 269c) wyłączający karalność osoby, która działała wyłącznie w celu zabezpieczenia systemu i niezwłocznie powiadomiła jego dysponenta o ujawnionych zagrożeniach – regulację tę analizowano właśnie w kontekście legalności działań na pograniczu grey hat^[17]. Dyskusję o granicach badań prowadzonych bez upoważnienia ożywiła w 2026 roku sprawa hobbystycznie odkrytej krytycznej podatności w obsłudze podpisów elektronicznych, pozwalającej ominąć logowanie m.in. w systemach ZUS i e-Sądu, którą badacz zgłosił i którą usunięto bez szkód^[18].