haker

Haker to osoba, która dogłębnie rozumie działanie systemów informatycznych i potrafi zmusić je do zachowań nieprzewidzianych przez twórców. Samo słowo nie przesądza, czy robi to legalnie. Słownik internetowy RFC 1392 z 1993 roku opisuje hakera jako kogoś, kto znajduje przyjemność w dogłębnym rozumieniu wewnętrznego działania systemu, zwłaszcza komputerów i sieci ^[1]. Ten sam dokument zaznacza, że termin bywa nadużywany w znaczeniu pejoratywnym, gdzie właściwe byłoby słowo „cracker” ^[1].

Dwa znaczenia

Słowo funkcjonuje w dwóch znaczeniach, które często się mieszają. W pierwotnym, środowiskowym znaczeniu haker to entuzjasta nowych technologii, który przekracza granice i myśli nieszablonowo ^[6]. Pojęcie narodziło się w latach 60. XX wieku w Massachusetts Institute of Technology ^[6]. W znaczeniu potocznym i prasowym haker to sprawca włamania. Tak definiuje to pojęcie słownik NIST: nieuprawniony użytkownik, który próbuje uzyskać albo uzyskuje dostęp do systemu informacyjnego ^[2].

RFC 1392 rozdziela te znaczenia dwoma słowami. Cracker to według niego osoba, która próbuje uzyskać dostęp do systemów komputerowych bez upoważnienia i często działa w złych zamiarach, w odróżnieniu od hakera ^[1]. Gdy chodzi o sprawcę przestępstwa, jednoznaczniejsze od słowa „haker” są określenia cyberprzestępca albo po prostu atakujący.

W branży bezpieczeństwa o intencjach hakera mówią zwykle przymiotniki zapożyczone z westernów. Tabela zestawia najczęstsze określenia.

Profesjonalnie pracujący haker po jasnej stronie nazywa się zwykle badaczem bezpieczeństwa. Wykonuje testy penetracyjne na zlecenie albo zgłasza błędy w programach bug bounty.

Haker w polskim prawie

Kodeks karny nie używa słowa „haker”. Opisuje czyny. Artykuł 267 § 1 karze tego, kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, między innymi przełamując albo omijając jej zabezpieczenie ^[3]. Paragraf 2 tego artykułu karze samo uzyskanie bez uprawnienia dostępu do całości lub części systemu informatycznego ^[3]. Za oba czyny grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do lat 2, a ściganie następuje na wniosek pokrzywdzonego ^[3].

Dalsze przepisy dotyczą niszczenia danych i zakłócania systemów. Artykuł 268a karze niszczenie, zmianę lub utrudnianie dostępu do danych informatycznych, a artykuł 269a zakłócenie pracy systemu lub sieci ^[3]. Artykuł 269b dotyczy wytwarzania i udostępniania programów przystosowanych do popełniania tych przestępstw oraz haseł i kodów dostępu ^[3].

Prawo przewiduje też wyjątki dla działań obronnych. Artykuł 269b § 1a wyłącza odpowiedzialność tego, kto działa wyłącznie w celu zabezpieczenia systemu albo opracowania metody zabezpieczenia ^[3]. Artykuł 269c zwalnia z kary za czyny z art. 267 § 2 i art. 269a, jeśli sprawca działał wyłącznie w celu zabezpieczenia systemu, niezwłocznie powiadomił dysponenta o zagrożeniach, nie naruszył interesu publicznego ani prywatnego i nie wyrządził szkody ^[3]. Kolejność tych warunków pokazuje schemat poniżej.

RYS. 1Warunki z art. 269c k.k.

Przepis nie obejmuje art. 267 § 1, czyli uzyskania dostępu do informacji przez przełamanie zabezpieczenia ^[3]. Pewniejszą drogą dla badacza jest więc zgoda właściciela systemu albo udział w programie skoordynowanego ujawniania podatności (coordinated vulnerability disclosure).

W WordPressie

Dokumentacja WordPressa pisze o hakerach wprost w kontekście haseł. Haker, który zdobędzie dostęp do konta administratora, może zainstalować złośliwe skrypty mogące przejąć cały serwer ^[4]. Dlatego zaleca silne hasło i logowanie dwuetapowe ^[4]. Ta sama dokumentacja zaznacza, że wiele ataków na WordPressa prowadzą autonomicznie złośliwe boty ^[4]. Za typowym atakiem na stronę nie stoi więc człowiek przy klawiaturze, tylko automat, który przegląda tysiące adresów w poszukiwaniu znanej podatności; zob. złośliwe boty.

Po zalogowaniu atakujący sięga zwykle po narzędzia, które daje mu sam panel. Wbudowany edytor plików motywów i wtyczek jest według dokumentacji często pierwszym narzędziem, którego użyje atakujący, bo pozwala wykonać kod ^[4]. Wyłącza go stała DISALLOW_FILE_EDIT w pliku wp-config.php ^[4]:

define( 'DISALLOW_FILE_EDIT', true );

Dokumentacja dodaje, że nie zapobiegnie to wgraniu złośliwych plików, ale może zatrzymać część ataków ^[4].

Po drugiej stronie stoją hakerzy, którzy pracują na rzecz WordPressa. Projekt zachęca do odpowiedzialnego ujawniania podatności w rdzeniu, wtyczkach i motywach i prosi o poufne zgłaszanie ich zespołowi bezpieczeństwa albo autorom rozszerzeń ^[5]. W zespole bezpieczeństwa pracuje ponad 50 zaufanych ekspertów, w tym badacze bezpieczeństwa ^[5].

Jak się bronić

Strona na WordPressie nie musi być celem konkretnej osoby, żeby paść ofiarą ataku. Obrona polega więc na zmniejszeniu liczby łatwych okazji, które wyszukują automaty.

• Aktualizować rdzeń, wtyczki i motywy, a nieużywane wtyczki usuwać ^[4].
• Stosować bezpieczne hasła i uwierzytelnianie dwuskładnikowe ^[4].
• Łączyć się z serwerem przez SFTP, bo zwykły FTP przesyła hasło otwartym tekstem ^[4].
• Wyłączyć edycję plików w panelu ^[4].
• Przeglądać logi serwera; pozwalają ustalić adres IP, czas i działania atakującego ^[4].