Fogalom, múlt, mindennapi munka
A „hacker” szó jóval régebbi és árnyaltabb annál, mint amit a filmes kapucnis alak sugall. A modern etikus hacker szerződéses keretek között gondolkodik támadóként azért, hogy a védelem jobb legyen.
A hacker tág értelemben olyan technikai gondolkodó, aki nem elégszik meg egy rendszer felszíni használatával: meg akarja érteni, hogyan épül fel, hol vannak a feltételezései és miként viselkedik váratlan helyzetekben. A szó korai műhelyszlengjében a kreativitás, az elegáns megoldás és a kíváncsiság állt a középpontban.
A köznyelv később a jogosulatlan behatoló szinonimájaként kezdte használni a kifejezést. Emiatt érdemes különválasztani a képességet és a magatartást: ugyanaz a tudás segíthet egy szervezetnek megelőzni egy incidenst, vagy engedély nélkül kárt okozhat.
Az etikus hacker nem attól etikus, hogy ügyes, jó célt hangoztat vagy utólag szól. Az etikusság gyakorlati feltétele az előzetes és igazolható felhatalmazás, a pontos hatókör, az arányos módszer, az adatminimalizálás, a kárcsökkentés és a biztonságos jelentés.
A magyar Nemzeti Média- és Hírközlési Hatóság összefoglalója szintén azt hangsúlyozza, hogy a technikai képesség önmagában nem minősít: az engedély, a cél és a felelős eljárás választja el a védelmi munkát a visszaéléstől.
| Kategória | Felhatalmazás | Tipikus cél | Fő kockázat |
|---|---|---|---|
| White hat | Előzetes, érvényes engedély és hatókör | Hibák feltárása, javítás támogatása | A keretek túllépése itt is jogi és üzleti kárt okozhat |
| Grey hat | Nincs vagy nem egyértelmű | Gyakran kíváncsiság vagy kéretlen „segítség” | A jó szándék ellenére jogosulatlan lehet a hozzáférés |
| Black hat | Nincs | Haszonszerzés, kémkedés, zsarolás, károkozás | Bűncselekmény, adatvesztés, működéskiesés |
Az MIT Tech Model Railroad Club korai szótára már technikai-műhelyszlengként rögzítette a „hack” és „hacker” szavakat. A hangsúly a rendszer mély megértésén, a kíváncsiságon és az elegáns, olykor játékos megoldáson volt – nem a bűnelkövetésen.
Az időosztásos, többfelhasználós rendszerek új kérdést hoztak: hogyan lehet egyszerre megosztani egy gépet és megvédeni a rajta kezelt adatokat? A Willis Ware vezette védelmi munkacsoport jelentése hardveres, szoftveres, adminisztratív és üzemeltetési kontrollokat együtt kezelt – ez a mai rendszerszintű biztonsági gondolkodás egyik alapja.
A telefonhálózat jelzéseinek tanulmányozása technikai felfedezéseket és jogsértő visszaéléseket egyaránt hozott. A korszak megmutatta, hogy ugyanaz a rendszerszintű tudás szolgálhat kutatást vagy jogosulatlan hozzáférést – a döntő különbség a felhatalmazás és a cél.
A WarGames film a hálózati behatolást széles közönség számára tette láthatóvá. Az Egyesült Államokban a Computer Fraud and Abuse Act már külön jogi keretben kezelte a jogosulatlan számítógép-hozzáférést; a sajtóban a „hacker” egyre inkább a behatoló szinonimája lett.
Robert Tappan Morris önterjedő programja több ezer UNIX-gépet lassított vagy bénított meg. Az eset nemcsak az összekapcsolt hálózat sérülékenységét mutatta meg, hanem közvetlenül hozzájárult a CERT Coordination Center létrehozásához is.
A Bugtraq levelezőlista a sérülékenységek nyílt szakmai megvitatásának fontos fóruma lett. 1995-ben a Netscape pénzdíjas hibakereső programot indított; ezt gyakran az első modern bug bounty programként említik.
Az OWASP és más nyílt szakmai közösségek egységesebb nyelvet adtak a webes hibákhoz, a vizsgálatokhoz és a javításhoz. A sérülékenységvizsgálat fokozatosan szerződéses, dokumentált szolgáltatássá vált, amelynek eredménye nem a „bejutás”, hanem az ellenőrizhető jelentés.
A Google, a Facebook és más nagy szolgáltatók nyilvános programokkal tették kiszámíthatóvá, mit és hogyan vizsgálhatnak külső kutatók. A programok hatóköre, safe harbor szabályai és közzétételi folyamata a technikai eredménnyel egyenrangúvá vált.
Az amerikai védelmi minisztérium első nyilvános hibavadász-programja azt jelezte, hogy ellenőrzött keretek között még magas biztonsági igényű állami szervezetek is bevonhatnak független kutatókat. A modell később más közintézményeknél is megjelent.
A szakma ma API-kat, felhőjogosultságokat, mobilalkalmazásokat, ipari rendszereket, szoftverfüggőségeket és MI-alapú szolgáltatásokat is vizsgál. A támadó szemlélet mellett felértékelődött a blue team, a digitális forenzika, a fenyegetettségi hírszerzés, a biztonságos fejlesztés és a vezetői kockázatkezelés.
ELLENŐRIZHETŐ FORRÁSOK
Az MIT Tech Model Railroad Club tagja, programozó és a Spacewar! egyik korai közreműködője. Az általa összeállított 1959-es klubszótár a „hack” és „hacker” technikai használatának egyik legkorábbi írott emléke.
Csillagász és rendszergazda, aki egy 75 centes könyvelési eltérésből kiindulva hónapokon át követett egy nemzetközi behatolást. A The Cuckoo’s Egg története korán megmutatta a naplók, a türelem és a hatósági együttműködés értékét.
Fiatalon jogosulatlan behatolások és social engineering miatt vált ismertté, majd elítélése után biztonsági tanácsadóként és előadóként dolgozott. Életútja nem romantikus felmentés: épp azt mutatja, hogy a technikai tudás és a jogszerű felhatalmazás külön kérdés.
A L0pht Heavy Industries tagjaként 1998-ban az amerikai szenátus előtt figyelmeztetett az internet sebezhetőségére. Később a DARPA-nál, a Google-nél és a Twitternél töltött be biztonsági szerepeket; pályája összeköti a műhelyszintű kutatást és a szervezeti felelősséget.
A koordinált sérülékenység-kezelés és a hibavadász-programok egyik meghatározó szakembere. A Microsoftnál programok kialakításán dolgozott, majd a Luta Security alapítójaként szervezeteknek segített fenntartható közzétételi folyamatokat létrehozni.
A Metasploit projekt alapítója. A keretrendszer nagy hatással volt arra, hogyan lehet ismert hibák hatását laborban vagy engedélyezett vizsgálatban reprodukálni, ellenőrizni és dokumentálni.
A BME CrySyS Lab két meghatározó kutatója. Buttyán Levente a labor egyik alapítója és vezetője; kutatásai a kriptográfiától és hálózatbiztonságtól a járművek, drónok és gépi tanulási rendszerek védelméig terjednek. Bencsáth Boldizsár vezette a Duqu kártevőt vizsgáló CrySyS-csapatot, és részt vett a Flame elemzésében. Munkájuk a magyar akadémiai kiberkutatást nemzetközileg is láthatóvá tette.
Három évtizede dolgozik információbiztonsági és kibervédelmi területen. Korábban a KÜRT Biztonsági Intelligencia Központját, majd 2011-től több mint négy éven át a Nemzeti Biztonsági Felügyelet kibervédelmi központját vezette; részt vett a 2013-as információbiztonsági törvény előkészítésében. Jelenleg hazai és nemzetközi kiberbiztonsági, képességfejlesztési és mesterségesintelligencia-projekteken dolgozik.
Kiberbiztonsági kutató és oktató, aki a technikai védelem mellett a kiberhadviselés, a közszolgálati biztonság, a szabályozás és a szakemberképzés kérdéseivel foglalkozik. Munkája sokat tett azért, hogy a téma magyarul is közérthetően jelenjen meg.
Etikus hacker és sérülékenységkutató, korábban az MRG Effitas technológiai vezetője, jelenleg nemzetközi kutatói környezetben dolgozik. Többek között a DEF CON és más rangos konferenciák előadója volt.
A válogatás ismeretterjesztő, nem rangsor. A magyar részben kutatók, oktatók és gyakorlati szakemberek egyaránt szerepelnek.
Meghatározott rendszereken, időben és módszerekkel keres kihasználható hibákat, majd bizonyítékot, üzleti kockázatot és javítási javaslatot dokumentál.
Egy támadó reális célját modellezi több technikai és emberi támadási felület összekapcsolásával, szigorú műveleti keretek között.
Naplókból és riasztásokból azonosít gyanús viselkedést, finomítja az észlelést, korlátozza a támadót és támogatja a helyreállítást.
Egy aktív eseményt felmér, elszigetel, felszámol és dokumentál; összehangolja a technikai, jogi, kommunikációs és üzleti lépéseket.
Megbízható eljárással gyűjt és elemez digitális bizonyítékot, eseménysort rekonstruál, és ügyel a bizonyítékok sértetlenségére.
Támadói kampányokat, infrastruktúrát, célokat és módszereket követ, majd a nyers információt döntést segítő értékeléssé alakítja.
A fejlesztési folyamatba építi a biztonságot: architektúrát, kódot, API-kat, függőségeket és kiadási folyamatokat vizsgál.
Felhőjogosultságokat, identitást, hálózati határokat, naplózást és automatizált infrastruktúrát tervez és ellenőriz.
Védelmi kontrollokat, platformokat és biztonsági alapelveket tervez úgy, hogy azok működtethetők, mérhetők és üzletileg arányosak legyenek.
Új sérülékenységet vagy támadási osztályt elemez, reprodukálható bizonyítékot készít, és a gyártóval koordinálja a javítást.
Kizárólag egy nyilvános program hatóköre és szabályai szerint dolgozik. A jó jelentés legalább olyan fontos, mint maga a technikai felfedezés.
A támadó és védő oldal közös gyakorlatait vezeti: azt méri, hogy a kipróbált technikát észlelte-e a védelem, és hogyan javítható a reakció.
Kontrollokat, folyamatokat és megfelelést vizsgál bizonyítékok alapján; nem feltétlenül támadási technikákkal dolgozik.
Az üzleti kockázatokat, költségeket, szabályozási elvárásokat és védelmi prioritásokat szervezeti szinten hangolja össze.
ELLENŐRIZHETŐ FORRÁSOK
Szerződés, tulajdonosi jogosultság, hatókör, tiltott módszerek és vészhelyzeti kapcsolatok rögzítése.
Az engedélyezett támadási felület feltérképezése a lehető legkisebb zavarás mellett.
A sérülékenység hatásának minimálisan szükséges bizonyítása, adatrombolás és szükségtelen hozzáférés nélkül.
Technikai súlyosság mellett üzleti hatás, kihasználhatóság és érintett adatok értékelése.
Reprodukálható bizonyíték, érthető kockázat és prioritást adó, megvalósítható javítási javaslat.
A javítás célzott ellenőrzése új vagy kiterjesztett engedély alapján.