Gray Hat Hacking, quelli dell’Etica Ambigua…

I cosiddetti “Hacker Tiepidi” un giorno possono essere i Suoi migliori amici, i Suoi dipendenti di fiducia, e il giorno dopo possono dissentire sul pagamento ricevuto, sul corrispettivo dei loro servizi, e trasformarsi nel Suo peggior incubo. In questa occasione gli Ingegneri ZARZA ci aiutano a comprendere questa categoria del Gray Hat Hacking, nella quale, secondo le statistiche, si colloca la maggior parte degli hacker di oggi.

Gray Hat Hacking, da dove proviene il cappello grigio?

Gli hacker dal cappello grigio sono coloro che un giorno sono buoni e, magari nello stesso giorno, sono anche cattivi. Il loro comportamento si riconosce quando sono loro a individuare le vulnerabilità e, nel caso in cui non vengano ingaggiati per correggerle, sono gli stessi che le sfruttano, raggiungendo così il proprio scopo con le buone o con le cattive.

Quelli catalogati nel Gray Hat Hacking o Hacker dal Cappello Grigio sono quelli che “giocano” a fare i buoni e i cattivi; in altre parole, hanno un’etica ambigua e praticano la doppia morale, o la morale di convenienza.

Possiedono le conoscenze di un Black Hat Hacker e le utilizzano per penetrare nei sistemi e trovare vulnerabilità, per poi offrire i propri servizi per ripararle sotto contratto, a una “modica tariffa”, solitamente più economica di quella di un White Hacker, in virtù del fatto che loro conoscono già il sistema e sono riusciti a violarlo. Tuttavia, è abbastanza frequente che il sistema non venga riparato, bensì che venga mantenuta una porta di servizio per continuare a richiedere denaro di tanto in tanto… In realtà sono poco affidabili, anche se molti dicono di esserlo, e altri probabilmente lo sono; questa è una caratteristica del Gray Hat Hacking, l’ambiguità.

Il Cappello Grigio e la sua storia

Chi indossa un cappello grigio, nella comunità hacker, fa riferimento a un hacker di talento che a volte agisce illegalmente, ma con intenzioni discutibili. Sono un misto tra il lato oscuro e coloro che praticano il White Hacking.

Di solito non attaccano per interessi personali o con cattive intenzioni, sebbene talvolta lo facciano per interessi economici; sono tuttavia pronti a commettere reati nel corso delle “loro imprese”, purché, secondo la loro etica ambigua, il fine giustifichi i mezzi.

Mentre gli hacker dal cappello bianco sono soliti comunicare alle aziende le falle di sicurezza in modo riservato, coloro che praticano il Gray Hat Hacking sono più propensi ad avvisare la comunità hacker, chiedere “riscatti”, oppure avvisare le aziende e limitarsi a osservare le conseguenze.

Il termine cappello grigio fu coniato da un gruppo di hacker chiamato L0pht nel 1998, e da allora è stato associato a coloro che cercano, per piacere o per altre ragioni, vulnerabilità e le segnalano, a volte passando da un lato all’altro, senza grandi rimorsi e con tesi che spesso si contraddicono tra loro; formando un intero compendio del Gray Hat Hacking.

Alcune di queste catalogazioni e/o caratteristiche del Gray Hat Hacking sono state sintetizzate in:

• Hacker che si dedica alla ricerca sulla sicurezza con l’intenzione di proteggere invece di sfruttare.
• Affronta questioni di etica e morale in materia di attacchi e protezione informatica nell’ambito del proprio lavoro.
• Non approva la divulgazione completa delle vulnerabilità e ama mantenere “accessi secondari”.
• In genere segnala le vulnerabilità ai venditori di questi prodotti, in un momento non preciso né specifico.

Gray Hat Hacking, buoni o cattivi?

Una via di mezzo. Tuttavia esistono molti casi, giorno dopo giorno, in cui segnalano vulnerabilità a case di sviluppo che rispettano, preferendo segnalare il problema e favorire così i propri interessi e quelli della comunità in generale, ritenendo che la violazione possa generare molto più danno di quanto varrebbe la pena nasconderla. In questi casi il rispetto per il team e per la casa di sviluppo è cruciale, ed è lì che il Gray Hat Hacking trova davvero la sua ragion d’essere.

Ci sono casi che sono passati alla storia…

• Nell’aprile del 2000, gli hacker noti come “{}” e “Hardbeat” ottennero un accesso non autorizzato ad apache.org, il popolare servizio del server http, utilizzato dalla maggior parte dei siti web del pianeta. In quell’occasione scelsero di avvisare le persone di Apache dei problemi invece di cercare di danneggiare i server.
• Nel giugno del 2010, Goatse Security rivelò una falla nella sicurezza di AT&T che permetteva di ottenere gli indirizzi di posta elettronica degli utenti di iPad. Il gruppo rivelò la falla di sicurezza ai mezzi di comunicazione dopo che AT&T era stata notificata.
• Nell’aprile del 2011, un gruppo di esperti scoprì che l’iPhone e l’iPad 3G stavano “registrando” ciò che l’utente visitava. Apple pubblicò allora una dichiarazione affermando che l’iPad e l’iPhone registravano soltanto le torri a cui il telefono poteva accedere.

In questi casi vediamo come il Gray Hat Hacking abbia portato benefici senza grandi complicazioni, né secondi fini, o almeno, non così evidenti…

Cosa fare se vengo contattato da un Hacker Grigio?

Se è cliente di ZARZA, Le suggeriamo di inoltrare la comunicazione al Suo Ingegnere di fiducia, così da ricevere assistenza e suggerimenti specifici per il Suo caso. Nel caso in cui operi in autonomia, la cosa principale sarebbe effettuare al più presto un backup dei Suoi contenuti, in modo tale che, se non cede alle richieste del Gray Hat Hacking, possa eventualmente ripristinare il Suo sistema.

Se il Gray Hacker Le fornisce informazioni in modo disinteressato, diffidi, e faccia in modo che il Suo sviluppatore, o Ingegnere, cerchi e applichi, secondo la propria esperienza, gli strumenti migliori per correggere il problema rilevato, oltre a cercare e identificare eventuali accessi secondari creati a partire da questa circostanza.