Сив хакер (от англ. „Grey Hat“ – сива шапка) е жаргонна дума, която обозначава компютърен хакер или експерт по компютърна сигурност, чиито етични стандарти и мотивации са на границата между напълно алтруистични и изцяло злонамерени, без да клонят прекалено много към някоя от двете страни.
Наименованието „Grey Hat“ произлиза от това, че този тип попада между две категории – на експертите занимаващи се с компютърна сигурност (White Hat) и на злонамерените (Black Hat) хакери. Една от разликите между тези видове хакери е мотивацията им за откриване на уязвимости. Етичните хакери често хакват системи и мрежи по искане на работодателите си или при получаване на изрично позволение с цел да установят, каква е защитата на дадената система от пробив. Докато злонамерените хакери разбиват системи с цел да получат достъп до чувствителна информация или да получат някаква лична облага от това. „Сивите хакери“ често имат намеренията на добронамерените хакери, но биха разбили която и да е система или мрежа и без да им е дадено разрешение.
Действията на тези хакери могат да бъдат незаконни, макар и да разкриват уязвимости с добри намерения. Те често хакват уебсайтове или сървъри за да покажат на администраторите, че системата им е несигурна или конфигурирана неправилно. Могат също така да ги уведомят чрез имейл и да им покажат правилните конфигурации или нужните за системата ъпдейти.
Според друго определение за сив хакер, когато те открият уязвимост, вместо да кажат на въпросния собственик как работи тази уязвимост, сивите хакери може да предложат да поправят тази уязвимост срещу символично заплащане. Също така при получаване на непозволен достъп до уязвима система, може да препоръчат някой от тяхното обкръжение да бъде нает за отстраняването на проблема, който позволява такъв достъп. Но тази практика намалява с времето, защото все повече бизнеси са склонни да преследват и дават под съд хакерите, които я практикуват. Друга дефиниция за сив хакер твърди, че е спорно дали тези хакери нарушават закона, защото го правят с цел разследване и подобряване на сигурността като цяло. В случая дали дадено тяхно действие е нелегално или не зависи най-вече от последиците на хаковете, в които участват.
История Публично фразата „сива шапка“ е била използвана за първи път в контекста на компютърната сигурност, когато „Дефкон“ за първи път включва в своята програма „Конференция за инструктажи относно черните шапки“ (Black Hat Briefings)през 1996 г. Това, обаче не изключва възможността терминът да е бил използван в по-малки кръгове преди товаDe, Chu (2002). "White Hat? Black Hat? Grey Hat? ". ddth.com. Jelsoft Enterprises. Посетен на 2015-11-17."Def Con Communications Presents The Black Hat Briefings". blackhat.com. blackhat.com. 1996.. На тази конференция един от членовете на хакерската група „L0pht“ (Лофт) – др. Мъдж (Mudge) изнася презентация, на която оповестява намерението на групата му, като сиви шапки, да предоставят на „Майкрософт“ информация за открити пропуски в сигурността на операционните им системи, за да допринесат за сигурността на потребителите имLange, Larry (15 юли 1997). "Microsoft Opens Dialogue With NT Hackers". blackhat.com. blackhat.com. Посетен на 2015-11-17.. В резултат, на което Майк Наш, директор на сървърната група на „Майкрософт“ изразява мнение, че сивите шапки силно наподобяват технически специалисти в независимата софтуерна индустрия и са: „ценни, защото ни предоставят обратна връзка, с която можем да подобрим продуктите си“Lange, Larry (22 септември 1997). "The Rise of the Underground Engineer". blackhat.com. blackhat.com. Посетен на 2015-11-17..
Фразата „сива шапка“ е била използвана от Лофт и през 1999 г. В интервю за „Ню Йорк Таймс“ "HacK, CouNterHaCk". New York Times Magazine. 3 октомври 1999. Посетен на 2015-11-17. за да опишат специфичното за своята хакерска дейност. За разлика от практиките на „белите шапки“, които изискват уязвимостите на даден софтуер да не бъдат разкривани извън групата, сивите шапки подкрепят етичното докладване за наличието на слабости на производителя.
През 2002 терминът е използван от „Антисек“ („Anti-Sec“) общността, като определение за служители в сектора на сигурността, които в извън работно време се занимават с тип хакерска дейностDigitalsec.net #Phrack High Council. 20 август 2002. „The greyhat-IS-whitehat List“, характерна за „черните шапки“. Иронията е, че терминът става популярен в средите на белите шапки, докато черните го виждат като пренебрежителен.
Следвайки разрастването на философията за „етично хакване“ терминът „сива шапка“ започва да приема всякакви значения. Също така, повдигнатото в САЩ обвинение срещу Димитрий Скляров, за дейност, която е напълно легална в неговата страна променя отношението на много изследователи в сферата на сигурността. С разширяването на приложенията на интернет и нарастващата тревога от тероризма, терминът „бяла шапка“ се превръща в дефиниция за корпоративни експерти по сигурност, които не подкрепят пълно разкритие"The thin gray line". CNET News. 23 септември 2002. Посетен на 2015-11-17..
През 2008 Фондацията за електронни граници (EFF) дефинира сивите шапки като етични изследователи на сигурността, които понякога извършват действия „на границата“ на закона с цел да изследват и подобрят сигурността. Също така и адвокира към по-ясно законодателство, касаещо компютърните нападенияEFF.org Electronic Frontier Foundation (EFF). 20 август 2008. „A 'Grey Hat' Guide“.
Случаи През Април 2000 г. хакерска групировка позната като „{}“ или като „Hardbeat“ се сдобива с незаконен достъп до Apache.org. Групировката избира да уведоми екипа на Apache"Textfiles.com". Посетен на 2015-11-17. за проблемите в киберзащитата им вместо да се възползва от тях.
През Юни 2010 г. група от компютърни експерти на име Goatse Security разкрива ключов недостатък в защитата на AT&T Inc., който компрометира сигурността на имейл адресите на iPad потребители. Групата разкрива дупката в защитата и пред широката публика, не дълго след като уведомява самите AT&TFBI Opens Probe of iPad Breach Wall Street Journal, Spencer Ante and Ben Worthen. Посетен на 2015-11-17. Непосредствено след това ФБР започват да разследват случая и правят полицейска акция в дома на weev, най-видния член на Goatse SecurityApple's Worst Security Breach: 114 000 iPad Owners ExposedGawker.com (Gawker Media). Посетен 2015-11-17.
През Април 2011 г. друга група от експерти разкрива, че мобилните устройства на Apple iPhone и 3G iPad следят и записват локации, които потребителя посещава. В официално становище, Apple отричат подобни обвинения като заявяват, че тези устройства единствено следят местоположението на най-близките до потребителя Wi-Fi телекомуникационни кулиApple Q&A on Location Data Harrison, Natalie; Kerris, Natalie (27 април 2011). Apple Press Info. Apple, Inc. Посетен на 2015-11-17. Излизат многобройни статии по въпроса и общия консенсус е, че това е не повече от незначителен проблем. Случаят се класифицира като „сива шапка“ поради факта, че първоначалното разкритие направено от експертите бива съобщено на Apple, вместо да бъде използвано за лични целиIs Apple tracking you? hackfile.org. Посетен на 2015-11-17.
През Август 2013 г. Шалил Шратех, безработен специалист по компютърна защита, хаква Фейсбук страницата на Марк Зъкърбърг, главния изпълнителен директор на Фейсбук, с цел да привлече внимание към бъг, който позволява достъп до страниците на потребители без тяхното разрешение и знание. Преди да предприеме това си действие, Шалил не веднъж се опитал да уведоми Фейсбук за съществуването на този бъг, като при всеки опит от Фейсбук са му отвръщали, че това всъщност не е бъг. След хакването на страницата на Зъкърбърг, Фейсбук предприемат действия да подобрят защитата си и да премахнат този бъг, който несъмнено би бил изключително ефективен способ за спамери и други не толкова добронамерени хакери. Фейсбук не компенсира финансово Шалил, защото е нарушил така наречената „White Hat program“ () политика на компанията, превръщайки случая в „сива шапка“Zuckerberg's Facebook page hacked to prove security flaw Gross, Doug (20 август 2013). cnn.com. CNN. Посетен 2015-11-17.
Вижте също Хакер Компютърна сигурност
Източници
Категория:Компютърна сигурност Категория:Субкултури