White hat

White hat (z ang. „biały kapelusz”), także white-hat hacker, etyczny haker – haker działający etycznie: za zgodą właściciela systemu włamuje się do oprogramowania lub infrastruktury po to, by zidentyfikować podatności i pomóc je usunąć, zanim wykorzystają je przestępcy^[1][2]. Przeciwieństwem white hata jest black hat – haker działający w złych zamiarach; pośrednią kategorię stanowi grey hat, który działa w dobrej wierze, ale nierzadko bez zgody właściciela systemu^[3]. Etyczni hakerzy pracują też w zespołach określanych jako red teamy lub tiger teamy^[1].

Podział na białe i czarne kapelusze wywodzi się ze schematu kolorystycznego westernów z lat 50. XX wieku, w których czarne charaktery nosiły czarne kapelusze, a bohaterowie pozytywni – białe lub inne jasne^[4]. Oxford English Dictionary notuje komputerowe znaczenie słowa white hat – osoby hakującej w celach nieszkodliwych lub altruistycznych – od 1990 roku. Wyrażenie white-hat hacker upowszechniło się pod koniec lat 90., a na początku XXI wieku zaczęło oznaczać zawodowych testerów zabezpieczeń^[5].

Za jeden z pierwszych udokumentowanych etycznych ataków hakerskich uchodzi przeprowadzona na zlecenie Sił Powietrznych Stanów Zjednoczonych ocena bezpieczeństwa systemu operacyjnego Multics, której wyniki opublikowano w 1974 roku. Autorzy testowali system tak, jak zrobiłby to realny intruz, i wykazali, że mimo istotnej przewagi założeń projektowych Multicsa nad innymi ówczesnymi systemami stosunkowo niewielki nakład pracy wystarczył, by znaleźć podatności w zabezpieczeniach sprzętowych, programowych i proceduralnych^[6]. W raporcie zwrócono przy tym uwagę na ograniczenie takich testów: zespół ekspertów sprawdzających zabezpieczenia (określany jako tiger team) może wykazać istnienie podatności, ale nie może dowieść ich nieistnienia^[6].

Ideę oceniania bezpieczeństwa systemów metodami napastnika sformułowali Dan Farmer i Wietse Venema, którzy na początku lat 90. opisali, jak zebrać o celu ataku informacje wystarczające do złamania jego zabezpieczeń, a używane przez siebie narzędzia udostępnili publicznie w postaci pakietu SATAN (Security Administrator Tool for Analyzing Networks), szeroko komentowanego przez media^[1]. W 2016 roku amerykański Departament Obrony przeprowadził program „Hack the Pentagon” – pierwsze federalne bug bounty, w ramach którego zaproszeni badacze szukali luk w publicznych serwisach resortu^[7].

W praktyce zawodowej praca white hatów w dużej mierze pokrywa się z testami penetracyjnymi: etyczny haker symuluje ataki, którymi posłużyliby się przestępcy, aby zrozumieć, jak bronić systemów. Od działalności przestępczej odróżnia go nie technika, lecz autoryzacja, uzgodniony zakres i dyscyplina zawodowa – white hat porusza się w granicach ustalonych z klientem ram prawnych i etycznych^[2]. Obok ataków czysto technicznych etyczny test może obejmować socjotechnikę^[2]. Rośnie też rola programów bug bounty, w których firmy publicznie oferują nagrody za zgłaszane podatności^[2].

Branża testów bezpieczeństwa zorganizowała się wokół organizacji zawodowych i uznanych kwalifikacji^[2]. Do najbardziej znanych certyfikacji należy Certified Ethical Hacker (CEH) organizacji EC-Council^[8].

Granicę między działaniem legalnym a przestępstwem wyznacza przede wszystkim zgoda właściciela systemu. W Wielkiej Brytanii nieautoryzowany dostęp – nawet w celu ujawnienia podatności dla dobra ogółu – pozostaje przestępstwem z Computer Misuse Act, zagrożonym karą do dwóch lat więzienia, a przy modyfikacji danych do dziesięciu^[9]. W Stanach Zjednoczonych badania bezpieczeństwa podlegają ustawie Computer Fraud and Abuse Act, jednak w 2022 roku Departament Sprawiedliwości ogłosił, że prowadzone w dobrej wierze badania bezpieczeństwa nie będą priorytetem ścigania^[10]. Belgia zalegalizowała etyczne hakowanie w lutym 2023 roku^[11], w Niemczech projekt depenalizacji „paragrafu hakerskiego” przedstawiono w 2024 roku, ale nie został uchwalony^[12]. Chiny w 2021 roku zobowiązały podmioty wykrywające podatności do zgłaszania ich najpierw władzom w ciągu 48 godzin, co komentatorzy uznali za podporządkowanie pracy white hatów interesom państwa^[13].

W Polsce ryzyko prawne dla testerów zabezpieczeń wiązało się głównie z art. 269b Kodeksu karnego, penalizującym wytwarzanie i udostępnianie „narzędzi hakerskich”. Nowelizacja z 2017 roku, uchwalona przy okazji przepisów o konfiskacie rozszerzonej, zaostrzyła sankcje tego przepisu^[14], ale po protestach branży wprowadzono jednocześnie wyłączenia dla osób działających wyłącznie w celu zabezpieczenia systemów: kontratyp z art. 269b § 1a oraz klauzulę niepodlegania karze z art. 269c^[15]. W piśmiennictwie prawniczym wskazywano, że konstrukcja art. 269c nie realizuje w pełni swojego celu, i postulowano zawężenie zakresu ochrony wyłącznie do osób poszukujących luk bezpieczeństwa na własną rękę, o ile działają w warunkach symulacji^[16]. Zarazem w opinii prawnej przygotowanej dla środowiska bezpieczeństwa wskazywano, że polskie prawo nie kryminalizuje prowadzonego w dobrej wierze testowania zabezpieczeń, w tym udziału w programach bug bounty^[17].

• Black hat
• Grey hat
• Red team