«Серый хакер» или «серая шляпа» (англ. greyhat или gray hat) — компьютерный хакер или эксперт по компьютерной безопасности, который иногда может нарушать законы или этические нормы, но обычно не имеет злого умысла, характерного для «чёрного хакера».

Термин вошёл в употребление в конце 1990-х годов, заняв место между понятиями «белый хакер» и «чёрный хакер». Белый хакер использует обнаруженную уязвимость только с разрешения и не раскрывает её существование, пока она не будет исправлена. Чёрный хакер незаконно использует такие уязвимости сам или рассказывает другим, как это сделать. Серый хакер не будет незаконно использовать ее или рассказывать другим, как это сделать.

Ещё одно различие между типами хакеров заключается в методах обнаружения уязвимостей. «Белый хакер» взламывает системы и сети по запросу работодателя или с явного разрешения для определения их защищённости от хакеров. «Чёрный хакер» взламывает любую систему или сеть, чтобы получить доступ к конфиденциальной информации в личных целях. «Серый хакер», как правило, обладает навыками и намерениями «белого хакера», но может взломать любую систему или сеть без разрешения.

Согласно одному из определений «серого хакера» тот, обнаружив уязвимость, вместо того чтобы объяснить поставщику, как работает эксплойт, может предложить устранить её за небольшую плату. Получив незаконный доступ к системе или сети, он может предложить системному администратору нанять одного из своих друзей для решения проблемы; однако эта практика сокращается из-за растущей готовности предприятий преследовать нарушителей в судебном порядке. Другое определение «серого хакера» утверждает, что такие хакеры нарушают закон лишь в попытке исследовать и улучшить безопасность: законность определяется конкретными последствиями любых взломов, в которых они участвуют.

В сообществе поисковой оптимизации (SEO) «серыми хакерами» считаются те, кто манипулирует рейтингом веб-сайтов в поисковых системах с помощью неправомерных или неэтичных методов, которые не считаются спамом в поисковых системах.

Исследование 2021 года изучало психологические характеристики людей, занимающихся хакерством на рабочем месте. Результаты показывают, что «серые шляпы» обычно идут против авторитетов, «черные шляпы» имеют сильную склонность к поиску острых ощущений, а «белые шляпы» часто проявляют нарциссические черты.

История Термин «серая шляпа» впервые был публично использован в контексте компьютерной безопасности, когда DEFCON объявил о проведении первой конференции «черных шляп» в 1996 году, хотя и до этого времени он мог использоваться более мелкими группами. На этой конференции был представлен доклад, в котором Mudge, ключевой член хакерской группы L0pht, рассказал об их намерении как хакеров «серой шляпы» предоставлять Microsoft информацию об обнаруженных уязвимостях для защиты огромного числа пользователей её операционной системы.. Наконец, Майк Нэш, директор серверной группы Microsoft, заявил, что хакеры «серой шляпы» во многом похожи на технических специалистов в независимой индустрии программного обеспечения в том смысле, что «они ценны тем, что дают нам обратную связь для улучшения наших продуктов».

Термин «серая шляпа» был использован хакерской группой L0pht в интервью газете The New York Times в 1999 году для описания их хакерской деятельности. Эта фраза использовалась для описания хакеров, которые поддерживают этичное сообщение об уязвимостях непосредственно поставщику программного обеспечения в отличие от практики полного раскрытия информации, распространенной в сообществе «белых хакеров».

Однако в 2002 году сообщество Anti-Sec использовало этот термин для людей, которые днём работают в индустрии безопасности, а ночью занимаются деятельностью «черных хакеров»Digitalsec.net #Phrack High Council. 20 August 2002. "The greyhat-IS-whitehat List". Ирония в том, что для «черных хакеров» это было уничижительным термином, а для «белых» — термин с дурной славой.

После расцвета и последующего заката «золотой эры» противостояния сторонников полного раскрытия информации и противников безопасности, а также в связи с последующим развитием философии «этического хакинга», термин «серая шляпа» стал приобретать самые разные значения. Преследование Дмитрия Склярова в США за деятельность, которая была законной в его родной стране, изменило отношение многих исследователей безопасности. По мере того, как Интернет стал использоваться для более важных функций, и росла обеспокоенность по поводу терроризма, термин «белый хакер» стал обозначать экспертов по корпоративной безопасности, которые не поддерживали полное раскрытие информации.

В 2008 году EFF определила «серых шляп» как исследователей этической безопасности, которые непреднамеренно или предположительно нарушают закон в попытке исследовать и улучшить безопасность. Они выступают за более четкие и узко сформулированные законы о компьютерных преступленияхEFF.org Electronic Frontier Foundation (EFF). 20 August 2008. "A 'Grey Hat' Guide".

Примеры В апреле 2000 года хакеры, известные как "{}" и "Hardbeat", получили несанкционированный доступ к Apache.org. Они предпочли сообщить команде Apache о проблемах, а не пытаться повредить серверы Apache.org.

В июне 2010 года группа компьютерных экспертов, известная как Goatse Security, обнаружила уязвимость в системе безопасности AT&T, которая позволяла раскрывать адреса электронной почты пользователей iPadFBI Opens Probe of iPad Breach Wall Street Journal, Spencer Ante and Ben Worthen. 11 June 2010.. Вскоре после уведомления AT&T группа сообщила о выявленной уязвимости в СМИ. С тех пор ФБР начало расследование инцидента и провело обыск в доме weev, самого известного члена новой группы.

В августе 2013 года Халил Шритех, безработный исследователь компьютерной безопасности, взломал страницу Марка Цукерберга в Facebook, чтобы заставить компанию исправить обнаруженную им ошибку, которая позволяла публиковать сообщения на страницах любых пользователей без их согласия. Он неоднократно пытался сообщить Facebook об этой уязвимости, но компания отказывалась признавать ошибку. После инцидента уязвимость, которая могла бы стать мощным оружием в руках профессиональных спамеров, исправили. Шритех не получил компенсацию от программы «белых хакеров» Facebook, поскольку нарушил их политику. Это превращает ситуацию в инцидент «серых хакеров».

См. также

Хактивизм Кибершпионаж Анонимус Преступления в сфере информационных технологий Хакер Манифест хакера Испытание на проникновение Уязвимость (компьютерная безопасность)

Примечания

Категория:Хакинг Категория:Информационная безопасность Категория:Информационные технологии Категория:Компьютерные преступления Категория:Компьютерный взлом