امنیت به زبان ساده: هکرهای کلاه سفید

هکر کلاه سفید به کسی گفته می‌شود که از مهارت‌های خود در هک برای شناسایی آسیب‌پذیری‌های امنیتی در سخت‌افزار‌ها، نرم‌افزارها و شبکه‌ها استفاده می‌کند. اما برخلاف هکرهای کلاه مشکی، هکرهای کلاه سفید به قوانین و درون‌مایه‌های اخلاقی هک کردن احترام می‌گذارند.

هکرهای کلاه سفید که به آن‌ها هکرهای اخلاق‌مدار نیز گفته می‌شود، تنها زمانی به دنبال آسیب‌پذیری‌ها و اکسپلویت‌ها می‌گردند که از لحاظ قانونی اجازه این کار را دریافت کرده باشند. کلاه سفیدها بخش اعظمی از تحقیقات خود را روی نرم‌افزارهای متن‌باز و همینطور نرم‌افزارها و سیستم‌هایی انجام می‌دهند که رسما جواز کار روی آن‌ها را دریافت کرده‌اند. برای مثال زمانی که یک شرکت یک برنامه باگ‌یابی برگزار کرده و از هکرها می‌خواهد مشکلات محصولات و سرویس‌اش را بیابند.

برخلاف رویکردی که هکرهای کلاه خاکستری یا کلاه مشکی در پیش می‌گیرند، کلاه سفیدها تمام آسیب‌پذیری‌هایی که می‌یابند را فورا به کمپانی یا شخص مسئول اطلاع می‌دهند تا رخنه‌های امنیتی پیش از اینکه توسط افراد دیگر مورد سوء استفاده قرار گیرند، برطرف‌سازی شوند.

این هکرها معمولا محققانی امنیتی هستند که به صورت مستقل کار کرده یا پروژه‌هایی مشترک را با همتایان خود دنبال می‌کنند. اما گاهی هم برخی از کلاه سفیدها به عنوان کارمندانی تمام‌وقت به شرکت‌ها می‌پیوندند تا روی آسیب‌پذیری‌ها و اکسپلویت‌ها مطالعه کنند. محققان یا هکرهای قراردادی ممکن است آسیب‌پذیری‌ها را به صورت پروژه‌ای به صاحب سرویس اطلاع دهند اما گاهی هم با مشارکت در برنامه‌های باگ‌یابی، مبالغی را به عنوان پاداش دریافت می‌کنند.

افرادی که به تست نفوذپذیری می‌پردازند –چه به صورت مستقل فعالیت کنند و چه به صورت قراردادی یا کارمندی- معمولا به عنوان هکر کلاه سفید شناخته می‌شوند. جالب است بدانید بسیاری از هکرهای کلاه سفید شناخته‌شده قبلا کلاه مشکی بوده‌اند. و جالب‌تر اینکه این عبارات با الهام از فیلم‌های کلاسیک وسترن ساخته شده‌اند که در آن‌ها معمولا شخصیت‌های مثبت کلاهی سفید به سر دارند و شخصیت‌های منفی، کلاهی مشکی.

تفاوت میان هکرهای کلاه سفید، خاکستری و مشکی

افزون بر کلاه سفید، هکرها در دو دسته‌بندی عمده دیگر هم جای می‌گیرند: کلاه مشکی و کلاه خاکستری (البته عبارات دیگری مانند کلاه آبی و قرمز و صورتی هم داریم که در مقالات آتی به آن‌ها نیز خواهیم پرداخت).

درحالی که کلاه سفیدها تمام آسیب‌پذیری‌های یافت‌شده را فورا به شخص مسئول اطلاع می‌دهند، یک هکر کلاه مشکی هیچ مشکلی با فروش آسیب‌پذیری‌ها و اسکپلویت‌ها به کسی که بیشترین مبلغ را بابت‌شان بپردازد ندارد، این خریداران عمدتا مجرمانی سازمان‌یافته هستند که می‌خواهند از آسیب‌پذیری برای مقاصد شرورانه استفاده کنند. هکرهای کلاه مشکی حاضر به زیر پا گذاشتن قانون برای کشف یا ساخت ضعف‌های امنیتی هستند که یا منافعی شخصی برای آن‌ها به همراه دارند یا می‌توانند نوعی بیانیه سیاسی باشند.

هکرهای کلاه خاکستری در جایی میان کلاه‌ سفیدها و کلاه مشکی‌ها قرار می‌گیرند و لزوما اخلاق‌مدار یا بی‌اخلاق تلقی نمی‌شوند. کلاه خاکستری‌ها معمولا خود را آدم‌هایی خوبی در نظر می‌گیرند که در کارشان، رویکردی انعطاف‌پذیر در قبال قانون‌مداری دارند. برای مثال یک هکر کلاه خاکستری به احتمال زیاد بدون دریافت جواز از سوی صاحب به سیستم رخنه می‌کند اما در عین حال بعید است که آسیبی اساسی به آن سیستم‌ها وارد سازد.

رویکردهای اخلاقی یک هکر کلاه خاکستری، بستگی به نگاه او به شخص یا سازمانی دارد که مورد رخنه قرار داده است. چنین هکری ممکن است آسیب‌پذیری‌ها را به سازمان یا آژانس دولتی محبوبش اطلاع دهد و از سوی دیگر، آسیب‌پذیری‌های سازمانی که مورد پسندش نیست را به گوش دیگر هکرها برساند.

یکی از مثال‌های معروف این ماجرا مربوط به زمانیست که پلیس فدرال آمریکا می‌خواست به اطلاعات بیشتری راجع به یکی از مظنونین کشتار دسته‌جمعی سن برناردینو در سال ۲۰۱۵ دست یابد اما نمی‌توانست قفل آیفون او را بشکند. این ماجرا شکلی شدیدا عمومی به خود گرفت و اپل هم حاضر به همکاری با پلیس نشد. همین موضوع مباحثاتی طولانی به وجود آورد راجع به اینکه آیا ماموران قانون باید به دری پشتی برای موبایل‌های هوشمند دسترسی داشته باشند یا خیر.

درحالی که اپل همچنان از باز کردن آیفون شخص مظنون سر باز می‌زد، واشنگتن پست در یک گزارش نوشت که حداقل یک هکر کلاه خاکستری در صدد کمک به پلیس فدرال برآمده و با اشتراک‌گذاری آسیب‌پذیری‌های امنیتی آیفون، باز کردن آیفون تیرانداز را امکان‌پذیر کرده است. در این مثال، یک هکر کلاه‌سفید می‌توانست آسیب‌پذیری را به اپل اطلاع دهد تا زودتر از رخنه پلیس فدرال، آن را برطرف سازد.

ابزارها و تکنیک‌ها

هکرهای کلاه سفید و به خصوص آن دسته از هکرهایی که تست نفوذپذیری انجام می‌دهند، از همان تکنیک‌هایی استفاده می‌کنند که یک هکر کلاه مشکی برای پرده برداشتن از آسیب‌پذیری‌های امنیتی به کار می‌بندد. تست نفوذپذیری شامل جمع‌آوری اطلاعات راجع به هدف تست –مانند یک شبکه یا یک اپلیکیشن تحت وب-، شناسایی نقاط احتمالی وجود، تلاش برای ورود از طریق همان نقاط و بعد گزارش نتایج تست می‌شود.

یک هکر اخلاق‌مدار ممکن است از استراتژی‌های دیگری مانند ارسال ایمیل دسته‌جمعی برای کارمندان یک شرکت و تلاش برای فیشینگ اطلاعات حساس یا حتی رخنه فیزیکی به سیستم‌ها استفاده کند. در این موارد که شکلی افراطی به خود می‌گیرند، ممکن است تنها کارمندان رده‌بالای یک شرکت از تلاش او برای رخنه به سیستم‌ها باخبر باشند.

هکرهای کلاه سفید ممکن است حملات محروم‌سازی از سرویس را نیز روی ورژنی کلون شده از سیستم‌های کمپانی یا سیستم اصلی (در زمانی که مصرف آن به کمینه خود رسیده) تست کنند. مهندسی اجتماعی هم یکی دیگر از تکنیک‌های این دست از هکرهاست که نشان می‌دهد که یک کمپانی واقعا چقدر امنیت دارد. حملات مهندسی اجتماعی از رفتارهای انسانی سو استفاده کرده و مردم را به گونه‌ای فریب می‌دهند که رویکردهای امنیتی را زیر پا یا اطلاعات حساس را به اشتراک بگذارند.

در موراد دیگر، احتمال استفاده از اسکنرهای امنیتی و فریم‌وورک‌ها برای یافتن آسیب‌پذیری‌های شناخته‌شده نیز وجود دارد.

تبدیل شدن به هکر کلاه سفید

برخی از هکرهای کلاه سفید قبلا هکرهایی کلاه مشکی بوده‌اند که با پا به سن گذاشتن‌، پایبندی بیشتری به رویکردهای اخلاقی یافته‌اند. برخی دیگر هم بعد از اینکه به دام قانون افتاده‌اند تصمیم گرفته‌اند علاقه خود را به شکلی دنبال کنند که دیگر در خطر مجازات قضایی نباشند.

مدارک مختلف در زمینه‌هایی نظیر علوم کامپیوتر، امنیت اطلاعات و ریاضی می‌تواند یک پس‌زمینه عالی برای کسی باشد که هک کلاه سفید را به عنوان شغل اصلی خود انتخاب کرده. ا

فرادی که به این حوزه علاقه دارند می‌توانند جوازهایی مانند «هکر اخلاق‌مدار تایید شده» (CEH) را از سازمان‌هایی نظیر EC-Council یا GIAC دریافت کنند. مدارک دیگری مانند «جواز امنیت اساسی»، «تستر نفوذ‌پذیری GIAC»، «محقق اکسپلویت GIAC» و «تستر پیشرفته نفوذ‌پذیری GIAC» هم همگی از اعتبار فراوان برخوردار هستند.

هکرهای کلاه سفید مشهور

در صنعت تکنولوژی چندین هکر کلاه سفید شناخته‌شده داریم.

مارک مایفرت به یافتن آسیب‌پذیری‌های محصولات مایکروسافت شهرت دارد و یکی از اولین کارهایش، کرم Code Red در زمان نوجوانی بود. او بعدا به یکی از هم‌موسسین یک کمپانی فعال در زمینه امنیت نرم‌افزاری تبدیل شد و در نهایت مدیریت ارشد تکنولوژی در کمپانی BeyondTrust را برعهده گرفت.

کوین میتنیک هم یک هکر کلاه سفید شناخته‌شده دیگر است که البته قبلا یکی از تحت تعقیب‌ترین مجرمان سایبری در ایالات متحده بود. میتنیک در سال ۱۹۹۵ میلادی دستگیر و به خاطر فعالیت‌هایش به ۵ سال زندان محکوم شد. بعد از اتمام دوران محکومیت، میتنیک تبدیل به هکری کلاه سفید شد و اکنون یک شرکت مشاوره امنیتی را اداره می‌کند.

تسوتومو شیمومورا هکر کلاه سفیدی است که در نهایت موفق شد میتنیک را به دام بیندازند. به عنوان یک محقق کامپیوتری و فیزیک‌دان، شیمومورا با سازمان امنیت ملی آمریکا کار کرده و در روند دستگیری میتنیک نیز با پلیس فدرال آمریکا همکاری داشت.

رابرت هنسون ملقب به RSnake هم یکی دیگر از هکرهای شناخته شده است که ترفند ClickJacking را کشف و نام‌گذاری کرد. کلیک‌جکینگ به ترفندی گفته می‌شود که در آن، هکر نوعی هایپرلینک را زیر لینک‌های رایج محتویات یک وب‌سایت مخفی کرده و به این ترتیب موفق به دستکاری فعالیت‌های کاربران آن وب‌سایت می‌شود.

از دیگر نام‌های بزرگ در حوزه هک کلاه سفید می‌توان به جف ماس، کسی که کنفرانس‌های Black Hat و DEFCON را برگزار کرد، دکتر چارلی میلر که به مدت ۵ سال مشغول هک برای سازمان امنیت ملی آمریکا بود و همینطور استیو وزنیاک، هم‌موسس شرکت اپل اشاره کرد.

مشکلات قانونی هکرهای کلاه سفید

تفاوت بنیادین میان کلاه سفیدان و کلاه مشکی‌ها به دریافت جواز و مقاصد بازمی‌گردد. هکر کلاه سفید بدون اجازه یک کمپانی وارد سیستم‌هایش نمی‌‌شود و ضمنا آسیب‌پذیری‌ها را به شکلی مسئولیت‌پذیرانه اطلاع می‌دهد. یک هکر کلاه مشکی نه جواز لازم را دارد و نه مقاصد اخلاقی درست را. و معمولا آسیب‌پذیری‌ها را به شکلی مسئولیت‌پذیرانه اطلاع نمی‌دهد؛ مگر اینکه انگیزه‌هایی مالی یا قانونی داشته باشد.

با این همه، هکرهای کلاه سفید و کلاه مشکی عمدتا از ابزارها و تکنیک‌هایی یکسان استفاده می‌کنند و همین می‌تواند شرایط‌های قانونی پیچیده‌ای برای هکرهای اخلاق‌مدار رقم بزند.

برای مثال، برای اینکه یک هکر اخلاق‌مدار بتواند به شکلی همه‌جانبه امنیت یک کمپانی را به بوته آزمایش بگذارد، نه‌تنها به صورت مستقیم باید به سیستم کمپانی دسترسی باید، بلکه ممکن است نیازمند رخنه از طریق سیستم‌های شرکای تجاری نیز باشد. اگر شرکتی که خواستار تست نفوذ‌پذیری شده از پیش شرکای تجاری‌اش را در جریان این کار قرار ندهد، هکر کلاه سفید در نهایت به شکلی غیر قانونی وارد سیستم‌های شرکا شده است.

از سوی دیگر، اگر یک هکر اخلاق‌مدار توانسته باشد به اطلاعاتی حساس –مانند دیتای مصرف‌کنندگان- دسترسی یابد، وظیفه دارد که موضوع را به کمپانی مسئول آن دیتا قرار دهد. اما این لزوما بدان معنا نیست که مصرف‌کننده هم از نشر اطلاعات مربوط به خود باخبر می‌شود. این یعنی هکر مورد نظر، اطلاعات شخصی آن مشتری را رصد کرده است.