white hat

White hat (etyczny haker) to haker, który szuka słabości w zabezpieczeniach za zgodą i w interesie właściciela systemu. Działa na podstawie umowy określającej zakres testu albo w ramach programu bug bounty, a znalezione błędy przekazuje tym, którzy mogą je naprawić. Niebezpiecznik opisuje white hatów jako ludzi, „którzy testują zabezpieczenia w sposób etyczny” ^[1]. Nazwa pochodzi z umownego podziału na „kapelusze”: obok white hata są black hat i grey hat.

Jak działa

Praca etycznego hakera przypomina atak, ale ma inny cel i inne ramy. NIST definiuje test penetracyjny jako testowanie bezpieczeństwa, w którym oceniający naśladują rzeczywiste ataki, próbując obejść zabezpieczenia aplikacji, systemu lub sieci ^[2]. Inna definicja z tego samego słownika podkreśla, że testujący pracują zwykle w określonych ograniczeniach ^[2]. Te ograniczenia to właśnie to, co odróżnia white hata od włamywacza: zgoda, zakres, czas i sposób raportowania.

Typowe zlecenie przebiega w pięciu krokach pokazanych na schemacie poniżej.

RYS. 1Test prowadzony przez white hata

Po teście etyczny haker nie zatrzymuje dostępu, nie kopiuje danych ponad potrzebę dowodu i nie publikuje szczegółów, zanim nie powstanie poprawka. Tak działa skoordynowane ujawnianie podatności (coordinated vulnerability disclosure). CERT Polska w swojej polityce zaleca, by zgłaszający najpierw kontaktował się bezpośrednio z właścicielem podatnego systemu, a gdy to niemożliwe, korzystał z formularza CERT ^[5]. Wpisy CVE CERT publikuje po 90 dniach od przesłania producentowi szczegółów; termin może się skrócić, gdy producent wyda aktualizację albo nie współpracuje ^[5].

Odmiany

Podział na kapelusze nie jest formalną klasyfikacją, tylko skrótem opisującym intencję i zgodę.

Etyczni hakerzy pracują w kilku formach: jako zatrudnieni badacze bezpieczeństwa, jako członkowie zespołu red team symulującego przeciwnika, jako wykonawcy audytów i testów penetracyjnych albo jako uczestnicy programów nagród, czyli łowcy nagród w bug bounty.

Granice prawne w Polsce

Polskie prawo nie używa słowa „white hat”, ale zawiera przepis, który chroni działania w dobrej wierze. Artykuł 269c Kodeksu karnego dodała ustawa z 23 marca 2017 roku, ogłoszona 12 kwietnia 2017 roku i wchodząca w życie 14 dni od ogłoszenia ^[3]. Zgodnie z nim nie podlega karze za przestępstwo z art. 267 § 2 lub art. 269a ten, kto działa wyłącznie w celu zabezpieczenia systemu albo opracowania metody zabezpieczenia, niezwłocznie powiadomił dysponenta o ujawnionych zagrożeniach, a jego działanie nie naruszyło interesu publicznego lub prywatnego i nie wyrządziło szkody ^[4].

Art. 267 § 2 dotyczy uzyskania bez uprawnienia dostępu do całości lub części systemu informatycznego, a art. 269a zakłócenia pracy systemu przez działania na danych ^[4]. Przepis nie obejmuje innych czynów, na przykład ujawnienia cudzej informacji innej osobie, opisanego w art. 267 § 4 ^[4]. Warunki muszą być spełnione łącznie. Dlatego pisemna zgoda i uzgodniony zakres pozostają podstawą pracy etycznego hakera, a art. 269c jest raczej zabezpieczeniem niż zaproszeniem.

W WordPressie

Ekosystem WordPressa ma ustalone kanały dla etycznych hakerów. Błędy rdzenia w wersji instalowanej samodzielnie zgłasza się w programie WordPressa na platformie HackerOne, a błędy WordPress.com i wtyczek utrzymywanych przez Automattic w programie Automattic ^[6]. Podręcznik zabrania zgłaszania problemów bezpieczeństwa publicznie na forach wsparcia, nawet gdy błąd dotyczy tylko wersji beta, i prosi, by nie dzielić się szczegółami do czasu oficjalnego wydania poprawki ^[6]. Za zgłoszenia rdzenia przysługują nagrody, podwajane w okresie od wersji Beta 1 do ostatniej wersji Release Candidate wydania głównego ^[6].

Inaczej jest z podatnościami we wtyczkach z katalogu wordpress.org. Zespół wtyczek przyjmuje zgłoszenia na adres plugins@wordpress.org i prosi, by wcześniej w dobrej wierze spróbować skontaktować się z autorem wtyczki ^[7]. Zgłoszenie powinno zawierać zwięzły opis problemu, link do wtyczki i informację, czy zgłaszający sam potwierdził błąd ^[7]. Zespół nie wypłaca nagród i nie pomaga w uzyskaniu numeru CVE; podatne wtyczki zwykle zamyka do czasu poprawki ^[7]. Właściciel strony może ułatwić pracę etycznym hakerom, publikując plik security.txt ze wskazaniem kontaktu.

Znaczenie

Etyczni hakerzy uzupełniają pracę producentów: widzą oprogramowanie oczami atakującego, ale przekazują wyniki obrońcom. Dla właściciela strony zgłoszenie od white hata oznacza, że podatność została znaleziona przez kogoś, kto jej nie wykorzystał. Odpowiedź na takie zgłoszenie powinna obejmować potwierdzenie odbioru, ocenę, poprawkę i informację zwrotną.

Historia i przykłady

Granica między white hatem a grey hatem bywa nieostra. W lipcu 2017 roku Niebezpiecznik opublikował relację badacza, który w publicznym łańcuchu bloków sieci Steem znalazł hasła wpisywane przez użytkowników w pole notatki przelewu i przejął 11 kont, uzyskując kontrolę nad kryptowalutą wartą 21 tysięcy dolarów ^[8]. Według relacji zrobił to, by zabezpieczyć konta przed przestępcami, powiadomił właścicieli, a środki wróciły do nich ^[8]. Intencja była obronna, ale właściciele nie wyrazili wcześniej zgody, więc taki przypadek leży bliżej definicji grey hata niż wzorca etycznego testu.