Grey hat

Grey hat (pisane także gray hat, dosł. „szary kapelusz”) – haker lub badacz bezpieczeństwa komputerowego, który działa bez zgody właściciela systemu, ale bez złych intencji charakterystycznych dla przestępców komputerowych; pojęcie pośrednie między white hat (działającym legalnie i za zgodą) a black hat (działającym bezprawnie dla własnej korzyści)[1][2]. Typowy scenariusz działania grey hat to włamanie do systemu lub odnalezienie luki bez upoważnienia, a następnie poinformowanie o niej właściciela – niekiedy wraz z ofertą odpłatnej naprawy[3].

Historia terminu

Określenia „kapeluszy” w kulturze hakerskiej nawiązują do konwencji westernów, w których pozytywni bohaterowie nosili białe, a czarne charaktery – czarne kapelusze[2]. Termin grey hat zaczął funkcjonować publicznie w drugiej połowie lat 90., w środowisku skupionym wokół pierwszej konferencji Black Hat Briefings, którą w 1997 roku zorganizowała firma DEF CON Communications[4]. Podczas tej konferencji Mudge, czołowy członek grupy hakerskiej L0pht, opisywał zamiar przekazywania Microsoftowi informacji o wykrywanych lukach właśnie jako działanie hakerów „szarych kapeluszy”, mające chronić użytkowników systemów tej firmy[5].

W 1999 roku termin pojawił się w druku: w reportażu New York Times Magazine poświęconym grupie L0pht jeden z jej członków stwierdził, że wprawdzie kierują się oni zasadami etycznymi, ale nie są white hatami, ponieważ mają własne standardy moralne – i że używa się na to określenia gray-hat[6].

W 2002 roku środowisko Anti-Sec używało określenia grey hat odwrotnie – pogardliwie, wobec osób, które za dnia pracują w branży bezpieczeństwa, a nocą podejmują działania typowe dla black hat[7]. W 2008 roku Electronic Frontier Foundation zdefiniowała grey hats jako badaczy działających etycznie, którzy w toku badań nad bezpieczeństwem nieumyślnie lub w sposób dyskusyjny naruszają prawo, i opowiedziała się za precyzyjniejszymi przepisami o przestępczości komputerowej[8].

Definicje

Według podręcznika Gray Hat Hacking różnica sprowadza się do postępowania z odkrytą luką: white hat wykorzystuje ją wyłącznie za zgodą i nie ujawnia do czasu naprawienia, black hat wykorzystuje ją bezprawnie lub uczy tego innych, natomiast grey hat nie robi żadnej z tych rzeczy, choć samą lukę mógł znaleźć bez upoważnienia[1]. Przewodnik bezpieczeństwa firmy Red Hat akcentuje z kolei kwestię zgody: grey hat ma umiejętności i intencje white hata, ale włamuje się do systemów bez pozwolenia[2]. Robert Moore zwraca uwagę, że część definicji uznaje za grey hat osoby, których działania naruszają prawo jedynie w sposób dyskusyjny, w celu badania i poprawy bezpieczeństwa[3].

W badaniu psychologicznym opublikowanym w 2021 roku, opartym na skalach mierzących cechy tzw. ciemnej triady, poszukiwanie wrażeń i sprzeciw wobec autorytetów, opozycja wobec autorytetu okazała się istotnym statystycznie predyktorem skłonności do hakingu typu grey hat[9].

Znane przypadki

W kwietniu 2000 roku hakerzy o pseudonimach „{}” i „Hardbeat” uzyskali nieuprawniony dostęp do serwerów projektu Apache; zamiast wyrządzić szkody, poinformowali zespół Apache o problemach konfiguracyjnych, które umożliwiły włamanie[10]. W 2010 roku grupa Goatse Security ujawniła lukę w serwisie AT&T, która pozwalała pozyskać adresy e-mail użytkowników iPadów; po powiadomieniu operatora grupa opisała sprawę mediom, a FBI wszczęło śledztwo przeciwko jej członkom[11].

Szeroko opisywanym przykładem działania grey hat była sprawa Khalila Shreateha, bezrobotnego badacza z Palestyny, który w sierpniu 2013 roku – po tym, jak zespół bezpieczeństwa Facebooka zignorował jego zgłoszenia – zademonstrował odkrytą przez siebie lukę, publikując wpis bezpośrednio na tablicy Marka Zuckerberga. Luka pozwalała pisać na tablicy dowolnego użytkownika i została po incydencie naprawiona, ale Shreateh nie otrzymał nagrody z programu bug bounty, ponieważ złamał regulamin serwisu[12][13].

Ujawnianie podatności i aspekty prawne

Działalność grey hat pozostaje w napięciu z wypracowanymi w branży modelami ujawniania podatności: skoordynowanym ujawnianiem (coordinated vulnerability disclosure), w którym badacz przekazuje informacje producentowi i daje mu czas na przygotowanie poprawki, oraz polityką pełnego ujawnienia, zakładającą publikację szczegółów luki bez względu na stan poprawek[14]. Procedury przyjmowania i obsługi zgłoszeń o podatnościach ujęto także w normie ISO/IEC 29147[15]. Grey hat z definicji działa jednak bez zgody właściciela systemu, przez co nawet zgłoszenie luki w dobrej wierze może narazić go na odpowiedzialność karną[8].

Sytuacja w Polsce

Ryzyko prawne wiąże się w Polsce z przepisami kodeksu karnego dotyczącymi bezprawnego uzyskania dostępu do systemu i tzw. narzędzi hakerskich (art. 267 i 269b). Do 2017 roku przepisy te nie przewidywały żadnego wyłączenia dla działań podejmowanych w dobrej wierze: w 2013 roku opisywano przypadek zatrzymania mężczyzny, który zgłosił urzędnikowi wykrytą lukę, a w przygotowanej w 2016 roku dla Ministerstwa Cyfryzacji analizie prawnej stwierdzono wprost, że zamiar przełamania zabezpieczenia, nawet podjęty w dobrej wierze i połączony z zamiarem powiadomienia dysponenta systemu, nie wyłącza odpowiedzialności karnej[16].

Stan ten zmieniła nowelizacja z 2017 roku, która wprowadziła kontratyp z art. 269b § 1a oraz klauzulę niepodlegania karze z art. 269c. Obejmuje ona osobę działającą wyłącznie w celu zabezpieczenia systemu albo opracowania metody takiego zabezpieczenia, która niezwłocznie powiadomiła dysponenta systemu o ujawnionych zagrożeniach[17]. Zakres i skuteczność tej ochrony pozostają przedmiotem sporu w piśmiennictwie prawniczym; wskazywano, że konstrukcja art. 269c nie realizuje w pełni swojego celu, i postulowano zawężenie jej wyłącznie do osób poszukujących luk bezpieczeństwa na własną rękę, o ile działają w warunkach symulacji[18].

Przypisy

  1. 1 2 Daniel Regalado i in.: Gray Hat Hacking: The Ethical Hacker's Handbook. Wyd. 4. Nowy Jork: McGraw-Hill Education, 2015, s. 18. ISBN 978-0-07-183238-0. (ang.).
  2. 1 2 3 Johnray Fuller, John Ha, Tammy Fox: Red Hat Enterprise Linux 3 Security Guide. Red Hat, 2003. [dostęp 2026-08-21]. [zarchiwizowane z tego adresu (2012-07-29)]. (ang.).
  3. 1 2 Robert Moore: Cybercrime: Investigating High-Technology Computer Crime. Wyd. 2. Burlington: Anderson Publishing, 2011, s. 25. ISBN 978-1-4377-5582-4. (ang.).
  4. ↑ Def Con Communications Presents The Black Hat Briefings. blackhat.com, 1997. [dostęp 2026-08-29]. (ang.).
  5. ↑ Larry Lange: Microsoft Opens Dialogue With NT Hackers. EE Times, 1997-07-15. [dostęp 2026-08-21]. [zarchiwizowane z tego adresu (2018-07-28)]. (ang.).
  6. ↑ HacK, CouNterHaCk. The New York Times Magazine, 1999-10-03. [dostęp 2026-08-29]. (ang.).
  7. ↑ The greyhat-IS-whitehat List. Phrack High Council, 2002-08-20. [dostęp 2026-08-21]. [zarchiwizowane z tego adresu (2017-12-26)]. (ang.).
  8. 1 2 A „Grey Hat” Guide. Electronic Frontier Foundation, 2008-08-20. [dostęp 2026-08-21]. (ang.).
  9. ↑ Joana Gaia, G. Lawrence Sanders, Sean Patrick Sanders, Shambhu Upadhyaya, Xunyi Wang, Chul Woo Yoo. Dark Traits and Hacking Potential. „Journal of Organizational Psychology”. 21 (3), 2021. DOI: 10.33423/jop.v21i3.4307. [dostęp 2026-08-29]. (ang.).
  10. ↑ Michelle Finley: Apache Site Defaced. Wired, 2000-05. [dostęp 2026-08-21]. (ang.).
  11. ↑ Spencer Ante, Ben Worthen: FBI Opens Probe of iPad Breach. The Wall Street Journal, 2010-06-11. [dostęp 2026-08-21]. (ang.).
  12. ↑ Doug Gross: Zuckerberg's Facebook page hacked to prove security flaw. CNN, 2013-08-20. [dostęp 2026-08-21]. (ang.).
  13. ↑ Piotr Konieczny: Wrzucił posta na ścianę Marka Zuckerberga, bo zespół bezpieczeństwa Facebooka nie zrozumiał na czym polega dziura. Niebezpiecznik.pl, 2013-08-15. [dostęp 2026-08-21]. (pol.).
  14. ↑ The CERT Guide to Coordinated Vulnerability Disclosure. CERT Coordination Center. [dostęp 2026-08-21]. (ang.).
  15. ↑ ISO/IEC 29147:2018 Information technology – Security techniques – Vulnerability disclosure. International Organization for Standardization, 2018. [dostęp 2026-08-21]. (ang.).
  16. ↑ Marcin Maj: Wykrycie i zgłoszenie luki w dobrej wierze nie będzie przestępstwem. MC proponuje zmianę prawa. Dziennik Internautów, 2016-11-14. [dostęp 2026-08-29]. (pol.).
  17. ↑ IK: Krytyczna ocena granic legalnego hakingu na tle nowego art. 269c Kodeksu karnego. CyberDefence24. [dostęp 2026-08-21]. (pol.).
  18. ↑ Hubert Kromer. Klauzula niepodlegania karze z artykułu 269c Kodeksu karnego – czy spełnia swój cel?. „Czasopismo Prawa Karnego i Nauk Penalnych”. 30 (2), s. 193–213, 2026. DOI: 10.60677/CPKiNP2026.2.2. (pol.).
This article is issued from Wikipedia. The text is available under Creative Commons Attribution-Share Alike 4.0 unless otherwise noted. Additional terms may apply for the media files.