Os chamados “Hackers Mornos” podem, num dia, ser os seus melhores amigos, os seus empregados de confiança e, no dia seguinte, podem discordar sobre o pagamento recebido, sobre a contrapartida dos seus serviços, e tornar-se no seu pior pesadelo. Nesta oportunidade, os Engenheiros ZARZA ajudam-nos a compreender esta categoria do Gray Hat Hacking, onde se alberga, segundo as estatísticas, a maioria dos hackers na atualidade.
Gray Hat Hacking, de onde provém o chapéu cinzento?
Os hackers de chapéu cinzento são aqueles que num dia são bons e, talvez no mesmo dia, são também maus. O seu comportamento identifica-se quando são eles que detetam vulnerabilidades e, caso não sejam contratados para as corrigir, são os mesmos que as exploram, conseguindo assim o seu objetivo a bem ou a mal.
Os catalogados dentro do Gray Hat Hacking, ou Hackers de Chapéu Cinzento, são os que “brincam” a ser os bons e os maus; por outras palavras, têm uma ética ambígua e praticam a dupla moral, ou moral por conveniência.
Têm os conhecimentos de um Black Hat Hacker e utilizam-nos para penetrar em sistemas e encontrar vulnerabilidades, para depois oferecerem os seus serviços para as reparar sob contrato, por uma “módica tarifa”, habitualmente mais económica do que a de um White Hacker, dado que eles já conhecem e conseguiram explorar o sistema. No entanto, é bastante habitual que o sistema não seja reparado, mas que se mantenha uma porta traseira para irem pedindo dinheiro de vez em quando… São, na realidade, pouco fiáveis, embora muitos digam sê-lo, e outros provavelmente o sejam; esta é uma característica do Gray Hat Hacking, a ambiguidade.
O Chapéu Cinzento e a sua história
Quem usa um chapéu cinzento, na comunidade hacker, faz referência a um hacker talentoso que por vezes atua ilegalmente, mas com intenções questionáveis. São uma mistura entre o lado obscuro e os que praticam o White Hacking.
Habitualmente não atacam por interesses pessoais nem com más intenções, embora por vezes o façam por interesses económicos; no entanto, estão preparados para cometer delitos durante o curso das “suas façanhas”, desde que, segundo a sua ética ambígua, o fim justifique os meios.
Enquanto os hackers de chapéu branco costumam comunicar às empresas as brechas de segurança de forma silenciosa, os que praticam o Gray Hat Hacking são mais propensos a avisar a comunidade hacker, pedir “resgates”, ou avisar as companhias e simplesmente observar as consequências.
O termo chapéu cinzento foi cunhado por um grupo de hackers chamado L0pht em 1998 e, desde então, tem sido associado àqueles que procuram, por prazer ou por outras razões, vulnerabilidades e as reportam, por vezes passando de um lado para o outro, sem grandes remorsos, e com teses que muitas vezes colidem entre si; formando todo um compêndio do Gray Hat Hacking.
Algumas destas catalogações e/ou características do Gray Hat Hacking foram sintetizadas em:
- Hacker que se dedica à investigação de segurança com a intenção de proteger em vez de explorar.
- Lida com questões de ética e moral em matéria de ataques e proteção informática na linha do seu trabalho.
- Não aprova a divulgação completa das vulnerabilidades e gosta de manter “acessos secundários”.
- Por norma, reporta as vulnerabilidades aos fornecedores destes produtos, num momento nem preciso, nem específico.
Gray Hat Hacking, bons ou maus?
Intermédios. No entanto, há muitos casos, dia após dia, em que reportam vulnerabilidades a casas de desenvolvimento que respeitam, em que preferem reportar o problema e assim beneficiar os seus próprios interesses e os interesses da comunidade em geral, ao considerarem que a penetração pode gerar muito mais dano do que valeria a pena ocultar. Nestes casos, o respeito pela equipa e pela casa de desenvolvimento são cruciais, e é aí que realmente o Gray Hat Hacking ganha razão de ser.
Há casos que ficaram para a história…
- Em abril de 2000, os hackers conhecidos como “{}” e “Hardbeat” obtiveram acesso não autorizado a apache.org, o popular serviço do servidor http, que é utilizado na maioria dos sítios web do planeta. Nesta ocasião, escolheram avisar o pessoal do Apache dos problemas em vez de tentar danificar os servidores.
- Em junho de 2010, a Goatse Security revelou uma falha na segurança da AT&T que permitia obter os endereços de correio eletrónico dos utilizadores de iPad. O grupo revelou a falha de segurança aos meios de comunicação depois de a AT&T ter sido notificada.
- Em abril de 2011, um grupo de especialistas descobriu que o iPhone e o iPad 3G estavam a “registar” o que o utilizador visita. A Apple publicou então uma declaração dizendo que o iPad e o iPhone registavam apenas as torres a que o telefone podia ter acesso.
Nestes casos vemos como o Gray Hat Hacking tem beneficiado sem grandes complicações, nem segundas intenções, ou pelo menos, não tão evidentes…
O que fazer se for contactado por um Hacker Cinzento?
Se é cliente da ZARZA, sugerimos-lhe que copie a comunicação ao seu Engenheiro de confiança, recebendo assim assistência e sugestões específicas para o seu caso. Caso esteja por conta própria, o principal seria fazer uma cópia de segurança dos seus conteúdos com a maior brevidade, de forma que, se não ceder às exigências do Gray Hat Hacking, possa eventualmente restabelecer o seu sistema.
Se o Gray Hacker lhe fornecer informação desinteressada, desconfie, e faça com que o seu programador, ou Engenheiro, procure e aplique, segundo a sua experiência, as melhores ferramentas para corrigir o problema detetado, e além disso procure e identifique possíveis acessos secundários, criados a partir desta circunstância.
