Om du skriver "Ethical Hacker", "Black Hat" eller "White Hat" i en sökmotor kommer du inte bara att hitta resultat om de senaste erbjudandena på hattar. Dessa termer är djupt kopplade till informationssäkerhet och hackning av datorsystem. Men vad har hattar med hacking att göra? Och vad är en etisk hackare? Det är dessa frågor vi ska besvara i följande bloggartikel.
Ethical Hacker: Först och främst, vad är egentligen hacking?
Du har säkert läst artiklar om de "10 bästa campinghackarna", som förklarar hur man gör popcorn över en lägereld, eller så har du hört talas om "life hacks", som kan underlätta vardagen på ett kreativt sätt. "Hackare" är alltså per definition personer som använder sin kunskap och kreativitet, ofta relaterad till teknik, för att förstå, förbättra och förändra befintliga system. Sedan 1980-talet har dock begreppet genomgått en negativ förändring och begränsats till IT-säkerhetsområdet. I dagligt tal kallas numera en person som tar sig in i andras datasystem för hacker.
Black hat, white hat och ethical hacker: vad är skillnaden?
Hackare är nästan uteslutande skumma personer i luvtröjor som sitter och knappar på tangentbord i ett mörkt rum framför olika skärmar. Detta är också tydligt i media, både i nyheter och spelfilmer. Där blir det tydligt: ordet "hacker" har oftast negativa konnotationer. Kanske är det därför det behövs andra beskrivningar för att skilja mellan hackare: det talas allt mer om black hat hackers och white hat hackers. Men hur skiljer de sig åt?
Termerna har sitt ursprung i gamla westernfilmer. Där skilde sig de goda karaktärerna med vita hattar från sina onda motsvarigheter som bar svarta hattar. Och det är just i denna mening som vi hittar de "svarta hattarna" och "vita hattarna" igen i hackingvärlden. För att skilja mellan gott och ont hos hackare måste vi titta på två faktorer i synnerhet: deras motivation och legitimiteten i deras arbete.
Black hats motiveras av sin egen ekonomiska vinning, men också av cyberspionage, protester eller av ren spänning. De försöker stjäla, kryptera eller förstöra personuppgifter, finansiell information eller inloggningsuppgifter och på så sätt skada dem de angriper. De agerar utan de angripna personernas eller företagens vetskap och gör sig därför ansvariga för åtal.
Läs mer om hur du gör: Hur blir hackare avslöjade och avslöjade?
"White hats", å andra sidan, använder sina färdigheter för en god sak. Deras tillvägagångssätt liknar de svarta hackarnas, med skillnaden att de inte agerar olagligt. De arbetar för företag eller organisationer som IT-specialister och hjälper till att upptäcka och täppa till säkerhetsluckor genom hackning. Deras motivation är att förbättra och säkra tekniska system. Allt fler företag använder sig av sådana tjänster för att förhindra skadliga cyberattacker.
Skillnaden mellan svart och vitt, gott och ont, är som överallt annars alltför kortsiktig i IT-världen. Därför finns det en tredje grupp: de "grå hattarna". Dessa står mellan de två tidigare nämnda. De upptäcker säkerhetsbrister utan systemägarnas samtycke eller vetskap, men rapporterar sedan problemen till dem som berörs. De ber sedan om en ekonomisk belöning för sitt arbete och/eller ger företagen en tidsram för att åtgärda problemen och går sedan ut med sårbarheterna offentligt. De strävar inte efter att uppnå sina mål med illvilliga avsikter. Deras motivation är att öka medvetenheten om problemet och att njuta av själva hackningen. Den här typen av hackning ligger på gränsen till olaglighet, eftersom de arbetar utan tillstånd från systemägarna och ofta får insikt i känsliga uppgifter. Det faktum att gränserna mellan vita och svarta hackare blir alltmer suddiga bevisades redan i en studie från 2018 av Osterman Research.
Förståelse för rollen som ethical hacker
White och grey hat hackers kallas också för "etiska hackers". Denna term beskriver ett ansvarsfullt förhållningssätt till sina egna hackingfärdigheter och resultat. Det finns till och med kurser, konferenser och certifikat för etiska hackare som vill erbjuda sitt arbete officiellt. För förutom en lämplig etisk inställning måste etiska hackare också uppfylla andra krav: stor teknisk skicklighet, förmåga att sätta sig in i angriparens situation och förståelse för värdet av de data och system som de ska skydda.
I detta sammanhang kanske du kommer ihåg ett fall som lyftes fram i media i maj 2021. Hackaren Lilith Wittmann upptäckte säkerhetsproblem i CDU:s valkampanjsapp. Hon informerade sedan partiet, Federal Office for Information Security och Berlins dataskyddskommissionärer och erbjöd dem möjlighet att åtgärda problemet. Först när appen var offline publicerade hon sitt arbete. Detta tillvägagångssätt kallas också "responsible disclosure" och är ett exempel på etisk hacking. Fallet visar dock också hur svårt det kan vara att utvärdera sådant arbete enligt lagen. I det här fallet lämnade CDU in en brottsanmälan mot Wittmann, vilket inte bara ökade den offentliga förödmjukelsen för partiet utan också resulterade i ett officiellt uttalande från Chaos Computer Club (CCC) om att de inte längre skulle påpeka säkerhetsbrister för partiet i framtiden. Fallet lades ner eftersom uppgifterna var allmänt tillgängliga och rättsläget endast kriminaliserar spioneri eller avlyssning av åtkomstskyddade uppgifter.
Detta exempel visar än en gång att etiska hackares arbete är viktigt: utan dem skulle det finnas fler öppna säkerhetsluckor, som i sin tur skulle kunna utnyttjas av black hat-hackare.
Förresten håller hackarnas färgpalett på att utvidgas. Till exempel kan du också läsa om Red Hats, Blue Hats, Purple och Green Hats. Definitionerna av dessa är dock ibland mycket långt ifrån varandra, så vi kommer att lämna det vid detta för tillfället.
Läs mer om hur du gör: Hur stoppar man hackare på Facebook? Handfasta råd
