White hat

Ein White Hat (oder White-Hat-Hacker, Whitehat) ist ein ethischer Hacker für Computersicherheit. Ethisches Hacking ist ein Begriff, der eine breitere Kategorie als nur Penetrationstests umfasst. Mit dem Einverständnis des Eigentümers versuchen White-Hat-Hacker, alle Schwachstellen oder Sicherheitsprobleme des aktuellen Systems zu ermitteln. Der White Hat wird dem Black Hat, einem böswilligen Hacker, gegenübergestellt; diese definitorische Dichotomie stammt aus Westernfilmen, in denen heldenhafte und antagonistische Cowboys traditionell einen weißen bzw. schwarzen Hut tragen können. Es gibt noch eine dritte Art von Hackern, die als Grey Hat bekannt sind und mit guten Absichten, aber manchmal auch ohne Erlaubnis hacken.

Geschichte

Einer der ersten Fälle, in denen ein ethischer Hack eingesetzt wurde, war eine 1974 von der US-Luftwaffe durchgeführte "Sicherheitsevaluierung", bei der die Multics-Betriebssysteme auf ihre "potenzielle Verwendung als zweistufiges System (geheim/streng geheim)" getestet wurden. Die Evaluierung ergab, dass Multics zwar "deutlich besser als andere konventionelle Systeme" war, aber auch "... Schwachstellen in der Hardwaresicherheit, Softwaresicherheit und Verfahrenssicherheit" aufwies, die mit "relativ geringem Aufwand" aufgedeckt werden konnten. Die Autoren führten ihre Tests unter dem Aspekt der Realitätsnähe durch, so dass ihre Ergebnisse genau die Arten von Zugriffen widerspiegeln, die ein Eindringling möglicherweise erreichen könnte. Sie führten Tests durch, die sowohl einfache Übungen zum Sammeln von Informationen als auch direkte Angriffe auf das System beinhalteten, die dessen Integrität beschädigen könnten; beide Ergebnisse waren für das Zielpublikum von Interesse. Es gibt mehrere andere, inzwischen nicht mehr als geheim eingestufte Berichte, die ethische Hacking-Aktivitäten innerhalb des US-Militärs beschreiben.

1981 beschrieb die New York Times White-Hat-Aktivitäten als Teil einer "schelmischen, aber pervers positiven 'Hacker'-Tradition". Als ein Mitarbeiter von National CSS die Existenz seines Passwort-Crackers enthüllte, den er bei Kundenkonten eingesetzt hatte, tadelte das Unternehmen ihn nicht dafür, dass er die Software geschrieben hatte, sondern dafür, dass er sie nicht früher offengelegt hatte. In der Abmahnung hieß es: "Das Unternehmen ist sich des Nutzens für NCSS bewusst und unterstützt die Bemühungen der Mitarbeiter, Sicherheitslücken im VP, dem Verzeichnis und anderer sensibler Software in Dateien aufzudecken".

Die Idee, diese Taktik des ethischen Hackings einzusetzen, um die Sicherheit von Systemen zu bewerten und Schwachstellen aufzuzeigen, wurde von Dan Farmer und Wietse Venema formuliert. Um das allgemeine Sicherheitsniveau im Internet und in Intranets zu erhöhen, beschrieben sie, wie sie in der Lage waren, genügend Informationen über ihre Ziele zu sammeln, um die Sicherheit zu beeinträchtigen, wenn sie es wollten. Sie gaben mehrere konkrete Beispiele dafür, wie diese Informationen gesammelt und ausgenutzt werden konnten, um die Kontrolle über das Ziel zu erlangen, und wie ein solcher Angriff verhindert werden konnte. Sie sammelten alle Tools, die sie während ihrer Arbeit verwendet hatten, packten sie in eine einzige, einfach zu bedienende Anwendung und gaben sie an jeden weiter, der sie herunterladen wollte. Ihr Programm mit dem Namen Security Administrator Tool for Analyzing Networks, kurz SATAN, erregte 1992 weltweit großes Medieninteresse.

Am 20. Oktober 2016 kündigte das US-amerikanische Verteidigungsministerium die Aktion "Hack The Pentagon" an.

Taktik

Während sich Penetrationstests darauf konzentrieren, Software und Computersysteme von vornherein anzugreifen - beispielsweise durch das Scannen von Ports, die Untersuchung bekannter Fehler in Protokollen und Anwendungen, die auf dem System laufen, und die Installation von Patches -, kann Ethical Hacking auch andere Dinge umfassen. Ein ethischer Hack im großen Stil könnte beinhalten, dass Mitarbeiter per E-Mail nach Kennwörtern gefragt werden, oder dass in den Mülleimern der Geschäftsleitung gewühlt wird, in der Regel ohne das Wissen und die Zustimmung der Zielpersonen. Nur die Eigentümer, Geschäftsführer und Vorstandsmitglieder (Stakeholder), die um eine Sicherheitsüberprüfung dieses Ausmaßes gebeten haben, wissen davon. Um zu versuchen, einige der zerstörerischen Techniken eines echten Angriffs nachzuahmen, können ethische Hacker für geklonte Testsysteme sorgen oder einen Hack spät in der Nacht organisieren, wenn die Systeme weniger kritisch sind. In den meisten neueren Fällen werden diese Hacks für den langfristigen Betrug (Tage, wenn nicht Wochen, der langfristigen menschlichen Infiltration in ein Unternehmen) fortgesetzt. Einige Beispiele sind das Zurücklassen von USB-/Flash-Key-Laufwerken mit versteckter Autostart-Software in einem öffentlichen Bereich, als ob jemand das kleine Laufwerk verloren hätte und ein ahnungsloser Mitarbeiter es gefunden und mitgenommen hätte.

Einige andere Methoden zur Durchführung dieser Maßnahmen sind:

• Speicher-Forensik
• Denial of Service Angriffe
• Frameworks wie:
  • Metasploit
• Netzwerksicherheit
• Reverse engineering
• Netzwerk- und Vulnerability Scanner:
  • Burp Suite
  • Nessus
  • W3af
• Social Engineering Taktiken
• Training Platforms
• Schwachstellenforschung

Bei diesen Methoden werden bekannte Sicherheitslücken ausgenutzt und versucht, die Sicherheit zu umgehen, um in gesicherte Bereiche zu gelangen. Sie können dies tun, indem sie Software und System-"Hintertüren" verstecken, die als Verbindung zu Informationen oder Zugängen genutzt werden können, die ein nicht-ethischer Hacker, auch bekannt als "Black Hat" oder "Grey Hat", erreichen möchte.

Gesetzgebung

Belgien

Belgien hat White Hat Hacking im Februar 2023 legalisiert.

Großbritannien

Struan Robertson, juristischer Direktor bei Pinsent Masons LLP und Herausgeber von OUT-LAW.com, sagt: "Wenn der Zugriff auf ein System genehmigt ist, ist das Hacken ethisch und legal. Ist dies nicht der Fall, liegt eine Straftat nach dem Computer Misuse Act vor. Der Straftatbestand des unbefugten Zugriffs umfasst alles, vom Erraten des Passworts über den Zugriff auf das Webmail-Konto einer Person bis hin zum Knacken der Sicherheit einer Bank. Die Höchststrafe für unbefugten Zugriff auf einen Computer beträgt zwei Jahre Gefängnis und eine Geldstrafe. Höhere Strafen - bis zu 10 Jahren Gefängnis - drohen, wenn der Hacker auch Daten verändert. Unbefugter Zugriff, auch wenn er dazu dient, Schwachstellen aufzudecken, die vielen Menschen zugutekommen, ist nicht legal, sagt Robertson. "In unseren Hacking-Gesetzen gibt es keine Rechtfertigung dafür, dass Ihr Verhalten dem Allgemeinwohl dient. Selbst wenn Sie das glauben."