White hat

White hat (z ang. „biały kapelusz”), także white-hat hacker, etyczny haker – haker działający etycznie: za zgodą właściciela systemu włamuje się do oprogramowania lub infrastruktury po to, by zidentyfikować podatności i pomóc je usunąć, zanim wykorzystają je przestępcy^[1][2]. Przeciwieństwem white hata jest black hat – haker działający w złych zamiarach; pośrednią kategorię stanowi grey hat, który działa w dobrej wierze, ale nierzadko bez zgody właściciela systemu^[3]. Etyczni hakerzy pracują też w zespołach określanych jako red teamy lub tiger teamy^[1].

Podział na białe i czarne kapelusze wywodzi się z konwencji filmowego westernu, w której bohaterowie pozytywni nosili tradycyjnie białe, a czarne charaktery – czarne kapelusze; w połowie lat 60. XX wieku określenie white hat funkcjonowało już w amerykańskiej angielszczyźnie jako ogólne określenie „tego dobrego”^[4]. Oxford English Dictionary notuje komputerowe znaczenie słowa white hat – osoby hakującej w celach nieszkodliwych lub altruistycznych – od 1990 roku; wyrażenie white-hat hacker upowszechniło się pod koniec lat 90., a na początku XXI wieku zaczęło oznaczać zawodowych testerów zabezpieczeń^[5].

Za jeden z pierwszych udokumentowanych etycznych ataków hakerskich uchodzi przeprowadzona na zlecenie Sił Powietrznych Stanów Zjednoczonych ocena bezpieczeństwa systemu operacyjnego Multics, której wyniki opublikowano w 1974 roku. Autorzy testowali system tak, jak zrobiłby to realny intruz – od zbierania informacji po bezpośrednie ataki naruszające integralność – i wykazali, że mimo przewagi Multicsa nad innymi ówczesnymi systemami jego zabezpieczenia sprzętowe, programowe i proceduralne można obejść „stosunkowo niewielkim wysiłkiem”^[6]. W 1981 roku „The New York Times” opisywał białokapeluszowe praktyki jako część „psotnej, ale przewrotnie pozytywnej tradycji hakerskiej”: gdy pracownik firmy National CSS ujawnił istnienie napisanego przez siebie łamacza haseł, firma skarciła go nie za samo napisanie programu, lecz za zbyt późne ujawnienie^[7].

Ideę oceniania bezpieczeństwa systemów metodami napastnika sformułowali Dan Farmer i Wietse Venema, którzy na początku lat 90. opisali, jak zebrać o celu ataku informacje wystarczające do złamania jego zabezpieczeń, a używane przez siebie narzędzia udostępnili publicznie w postaci pakietu SATAN (Security Administrator Tool for Analyzing Networks), szeroko komentowanego przez media^[1]. W 2016 roku amerykański Departament Obrony uruchomił program „Hack the Pentagon” – pierwsze federalne bug bounty, w ramach którego zaproszeni badacze szukali luk w publicznych serwisach resortu^[8].

W praktyce zawodowej praca white hatów w dużej mierze pokrywa się z testami penetracyjnymi: etyczny haker symuluje ataki, którymi posłużyliby się przestępcy, aby zrozumieć, jak bronić systemów. Od działalności przestępczej odróżnia go nie technika, lecz autoryzacja, uzgodniony zakres i dyscyplina zawodowa – white hat porusza się w granicach ustalonych z klientem ram prawnych i etycznych^[2]. Obok ataków czysto technicznych (skanowanie sieci, wykorzystywanie znanych podatności) etyczny test może obejmować socjotechnikę – od wyłudzania haseł e-mailem, przez przeszukiwanie firmowych śmietników, po podrzucanie spreparowanych nośników USB^[2][9]. Rośnie też rola programów bug bounty, w których firmy publicznie oferują nagrody za zgłaszane podatności; platformy takie jak HackerOne i Bugcrowd zrzeszają setki takich programów^[10].

Branża testów bezpieczeństwa zorganizowała się wokół organizacji zawodowych i uznanych kwalifikacji^[2]. Do najbardziej znanych certyfikacji należy Certified Ethical Hacker (CEH) organizacji EC-Council^[11]; własne certyfikacje z zakresu uporządkowanego, etycznego hakowania (m.in. CNSS 4011) oferowała też amerykańska National Security Agency^[12].

Granicę między działaniem legalnym a przestępstwem wyznacza przede wszystkim zgoda właściciela systemu. W Wielkiej Brytanii nieautoryzowany dostęp – nawet w celu ujawnienia podatności dla dobra ogółu – pozostaje przestępstwem z Computer Misuse Act, zagrożonym karą do dwóch lat więzienia (do dziesięciu przy modyfikacji danych)^[13]. W Stanach Zjednoczonych badania bezpieczeństwa podlegają ustawie Computer Fraud and Abuse Act, jednak w 2022 roku Departament Sprawiedliwości ogłosił, że prowadzone w dobrej wierze badania bezpieczeństwa nie będą priorytetem ścigania^[14]. Belgia zalegalizowała etyczne hakowanie w lutym 2023 roku^[15], w Niemczech projekt depenalizacji „paragrafu hakerskiego” przedstawiono w 2024 roku, ale nie został uchwalony^[16]. Chiny w 2021 roku zobowiązały z kolei badaczy do zgłaszania wykrytych podatności najpierw władzom, co komentatorzy uznali za podporządkowanie pracy white hatów interesom wywiadu^[17].

W Polsce ryzyko prawne dla testerów zabezpieczeń wiązało się głównie z art. 269b Kodeksu karnego, penalizującym wytwarzanie i udostępnianie „narzędzi hakerskich”. Nowelizacja z 2017 roku, uchwalona przy okazji przepisów o konfiskacie rozszerzonej, zaostrzyła sankcje tego przepisu^[18], ale po protestach branży wprowadzono jednocześnie wyłączenia dla osób działających wyłącznie w celu zabezpieczenia systemów: kontratyp z art. 269b § 1a oraz klauzulę niepodlegania karze z art. 269c^[19]. Konstrukcja tych przepisów bywa krytykowana w doktrynie prawa karnego jako nie w pełni realizująca swój cel^[20]; zarazem w opinii prawnej przygotowanej dla środowiska bezpieczeństwa wskazywano, że polskie prawo nie kryminalizuje prowadzonego w dobrej wierze testowania zabezpieczeń, w tym udziału w programach bug bounty^[21].

Do znanych white hatów zalicza się m.in. Kevina Mitnicka, który po odbyciu kary za przestępstwa komputerowe został konsultantem bezpieczeństwa, oraz polską badaczkę Joannę Rutkowską, autorkę badań nad bezpieczeństwem systemów operacyjnych i wirtualizacji^[9].

• Black hat
• Grey hat
• Red team
• Blue team