Eetiline häkkimine, selle võimalused ja ohud

Sissejuhatus

Eetiline häkkimine on turvapraktika, kus palgatud häkker proovib IT süsteemi sisse murda, simuleerides pahaloomulist küberrünnakut . Fraas “eetiline häkkimine” oli esimesena kasutatud 1995 aastal IBM asepresidendi John Patricku poolt, aga selle sõna kontseptsioon on olnud olemas palju kauem. Eetilised häkkerid on tuntud ka “valge mütsi” häkkeritena ning on tavaliselt palgalised turvaspetsialistid, kes proovivad turvaauke avastada häkkimise teel.

Ajalugu

Häkkimise mõiste tekkis 1970ndatel, aga hakkas rohkem levima järgmisel kümnendil. Paar artiklit ja filmi hiljem, kus tutvustati häkkimist arvutisüsteemidesse, tekkis suuremale avalikkusele kuvand häkkimisest ja selle potentsiaalsest ohust. 1983 aastal häkiti sisse mitmesse asutusse, nende seas nt. Sloan-Kettering vähiravikeskus .

Need tegevused viisid USA kongressi mitme poliisi koostamisele seoses arvutikuritegudega, aga need ei aidanud kõrge-profiili rünnakuid suurte korporatsioonide ja valitsuse süsteemide pihta vähendada.

Joe Grandi on öelnud oma intervjuus, et häkkeri mõiste käib kellegi kohta, kes suudab lahendada tehnilisi probleeme unikaalsel viisil. . Seda mõtet järgides saab häkkimiseks pidada peaaegu iga leiutist, isegi enne digitaalajastut. Häkkerid on aidanud kujundada tänapäeva tehnoloogiat nagu teler, raadio ja telefon, alates nende loomisest. Ilma häkkeriteta näeksid kõik need seadmed välja täpselt samasugused nagu päeval, mil nad valmistati või neid ei oleks üldse olemas, sest ei oleks olnud vajadust neid laiali levitada ja edasi arendada. Televisiooni ei oleks võib-olla kunagi leiutatud, kuna liikuva pildi jäädvustamise tehnoloogiat ei oleks kunagi keegi edasi arendanud. Liikuvate piltide kontseptsioon on aluseks väga paljudele edasistele tehnoloogiatele.

Häkkimine tänapäeval

Kui rääkida tänapäeva häkkimisest meile kõige tuttavamast küljest, siis on tegu protsessiga, mille käigus tungitakse omavoliliselt isikliku arvuti või organisatsiooni võrku. Häkkeriks võib nimetada isikut, kes kasutab oma programmi konstrueerimiseks häkkimistegevuseks mõeldud vahendeid ja mõistab nende taga olevat kontseptsiooni.

Privaatsus, turvalisus ja tuvastamine on muutunud kõige murettekitavamaks teemaks internetis, mis kaasneb interneti tõhususega. Madala tehnilise teadmisega teismeline võib sisse murda ohvri arvutisse ja paljastada ohvri privaatsust. Asjatundlik häkker võib ohustada ettevõtte arvutit ja põhjustada salajaste äriandmete lekkimist konkurentidele, et saada rahalist kasu. Selleks, et vältida või leevendada seda tüüpi kahju, mängib olulist rolli eetiline häkkimine, mis aitab kaasa kaitsepüüdlustele.

Valge mütsi häkker

Valge mütsi häkkerit nimetatakse ka eetiliseks häkkeriks, kes kasutab oma oskusi ja teadmisi selleks, et kaitsta üksikisikute, ettevõtete või valitsuste süsteeme või võrke rünnakute eest. Nad võivad olla kas ettevõtte palgalised töötajad või töövõtjad. Eetilised häkkerid mitte ainult ei tuvasta haavatavusi, mida võidakse kasutada rünnakutes, vaid aitavad ka parandada sihtsüsteemi üleüldist turvalisuse taset. Lisaks õpetavad nad inimestele, kuidas end internetis turvata.

Musta mütsi häkker

Musta mütsi häkkerid on kurjategijad, kes proovivad siseneda arvutivõrkudesse pahatahtlikul eesmärgil. Nad võivad ka paigaldada arvutitesse pahavara, mis hävitab faile, hoiab arvuteid lukus, varastab salasõnu, krediitkaardi numbreid ja muud personaalset infot. Musta mütsi häkkereid motiveerib isiklik kasu: finantsiline, kättemaks, niisama segaduse tekitamine. Vahel on nende motivatsioon ideoloogiline.

Edukamad musta mütsi häkkerid on enamasti osavad häkkerid, kes töötavad suurtes kuritegelikes organisatsioonides. Tööotsi saadakse tihti tumedas veebis. Lepingud on tihtipeale sarnased nagu tavalises äris.

Häkkimisest on saanud lahutamatu osa riiklikus luureandmete kogumises, aga on tüüpilisem, et musta mütsi häkker töötab üksi või kuritegelikus organisatsioonis lihtsa rahateenimise eesmärgil.

Halli mütsi häkker

Halli mütsi häkkerid teevad segu valgest ja mustast mütsist. Neile meeldib ennast proovile panna ja murda turvaaukudest sisse. Nad võivad häkkida süsteemi ilma loata ja öelda omanikule, milliseid haavatavusi nad leidsid (valge mütsi käitumine) või nad võivad ka lihtsalt neid haavatavusi avalikustada (musta mütsi käitumine). Näiteks võib valge mütsi häkker teha päevasel ajal võrgu kaitsmistööd ja sellega seonduvalt häkib ka teisi süsteeme. halli mütsi häkkerid on üldiselt kahjutud ja moodustavad enamuse häkkeri kommuunist.

Eetilised häkkerid

Eetilised häkkerid on info- ja küberturbe spetsialistid, kes tunnevad hästi IT süsteemide testimist, läbitungimistestimist ja paljusid muid turvalisust tagavaid võrguanalüüsi lähenemisviise ning tagavad ettevõtte infosüsteemide turvalisuse ja terviklikkuse. Nad võivad kasutada mitmesuguseid lähenemisviise, et rakendada erinevaid läbitungimise või süsteemi terviklikkuse teste, mis võivad hõlmata häkkimise tööriistu, sotsiaalse manipuleerimise taktikaid ja katseid vältida standardseid turvameetmeid, et saada juurdepääs väidetavalt kaitstud alade nõrkade kohtade leidmiseks antud kaitseskeemis. Valge mütsi annet süsteemidesse tungimisel ja turvaprotokollide järgimisel kasutatakse enamasti just nende programmide ja andmebaaside paremaks kasutamiseks, nii et neist saavad tavaliselt küber- või IT-turbetööstuse seaduslikud spetsialistid või konsultandid hea palgaga – näiteks, Glassdoor andmetel, üle 100 000 USD aastas .

Eetilise häkkeri vajalikud oskused ja teadmised

Eetiline häkker on samal ajal universaalne ja kitsa spetsialisatsiooniga: tal peavad olema laiad teadmised erinevates IT alades ja sügavad oskused ühes või mitmes valdkonnas. Üldjuhul peab noorem pentetration tester teadma ja tundma järgnevat:

• oskama administeerida Windowsi ja Linuxi süsteeme;
• tundma programmeerimise keeli nagu Python, php, Perl, Ruby, JavaScript, Bash, jne;
• tundma HTMLi;
• teadma võrguprotokolle (TCP/IP, ICMP) ja võrguteenuseid (Proxy, VPN, Samba, AD);
• tundma erinevaid protokolle nagu HTTP, FTP, DNS, SSH;
• oskama töötada andmebaasidega nagu Azure SQL Database, MySQL, Microsoft SQL Server, PostgreSQL, Oracle Database.

Eetilise häkkeri instrumendid ja meetmed

Valge mütsi häkker kasutab samu tehnikaid, mis tavaline häkker. Erinevus seisneb õiguslikes aspektides – valge mütsi häkkerid ründavad süsteeme ja rakendusi viimaste omanike loal ja heaks, et aidata tuvastada nõrkusi ja kitsaskohti.

Läbitungimistest

Läbitungimistest (ingl Penetration testing, Pentesting) on simuleeritud häkkeri rünnak, mille käigus katsetatakse erinevaid viise süsteemi sisse murdmiseks ja proovitakse tõestada, et seda saab teha. Peale testi lõpetamist ja turvaaukude leidmist koostab häkker aruande probleemide kirjeldusest, ning teeb ettepanekud nende parandamiseks. Läbitungimistest on väga levinud, ning selle 3 erinevat alamtüüpi on:

• Must kast ( ingl Black box): simulatsioon rünnakust, kus häkkeril ei ole ligipääsu ettevõtte võrku ja ta ei tunne ettevõtte IT infrastruktuuri.
• Hall kast (ingl Gray box): siin ründaja on kas endise töötaja või kliendi rollis, kes on juba natukene tuttav ettevõtte võrguga.
• Valge kast (ingl White box): häkker omab täielikku ligipääsu ettevõtte süsteemidele administraatori õigustega.

Nendest kolmest meetodist on Must kast kõige populaarsem, kuna on kõige rohkem reaalsusele lähedane.

Andmepüük

Andmepüük (ingl Phishing) meelitab ohvrit andma tundlikku teavet või klõpsama pahatahtlikul failil või lingil. Eetiliste andmepüügi kampaaniate puhul proovitakse leida ja lahendada võimalikke probleeme organisatsiooni võrgus enne rünnaku toimumist. Kampaania raames koostatakse emaile ja saadetakse ettevõttes laiali pikema perioodi jooksul, et simuleerida reaalset rünnakut ja koguda tagasisidet.

Joonis 1. Õngitsemiskirja näide

DDOS-rünnak

DDOS-rünnak (ingl Distributed Denial-of-Service attack) on sihtmärgi päringutega üle koormamine nii, et see muutub kättesaamatuks või jookseb kokku . Valge mütsi häkker simuleerib DDoS rünnakut selleks, et aidata ettevõttel välja töötada reageerimiskava.

Sotsiaalne manipuleerimine

Sotsiaalne manipuleerimine (ingl Social engineering) on manipuleerimise võte, mis kasutab ära inimlikke vigu privaatse teabe, juurdepääsu või väärisesemete hankimiseks. Küberkuritegevuse puhul kipuvad need "inimhäkkimise" pettused meelitama pahaaimamatuid kasutajaid andmeid paljastama, pahavaranakkusi levitama või piiratud süsteemidele juurdepääsu võimaldama . Eetilised häkkerid kasutavad sotsiaalse manipuleerimise võtteid, et testida ettevõtte süsteemide turvataset, selle parandamise eesmärgil.

Turvalisuse skaneerimine

Turvalisuse skaneerimine (ingl Security scanning) – valged mütsid kasutavad erilisi instrumente süsteemide nõrkuste automaatseks tuvastamiseks. Tööriistadeks on alates veebirakenduste haavatavuste tuvastamisest (nt Acunetix või Netsparker) kuni avatud lähtekoodiga pentestimiseni.

Eetilise häkkeri kasu ettevõtetele ja ühiskonnale

Eetiline häkkimine toob üsna palju kasu ühiskonnale. Nende tegevuse ettevõtete jaoks võib klassifitseerida järgmiselt :

• Haavatavuste identifitseerimine - valged häkkerid aitavad leida süsteemide ja võrkude kaitsmatust. Lisaks ta on suutule andma hinnangut kaitse tasemele.
• Turvasüsteemi taseme tõstmine – tagab turvasüsteemi kõrge taseme ja annab hinnangu olemasolevale tasemele.
• Seisuaja (ingl down-time) madaldamine – valged häkkerid saavad testida, et rünnaku ajal oleks süsteem stabiilsem ja kiirem.
• Ettevõtte tugiüksuste kontrollimine – aitavad kontrollida praeguse IT toetusmeeskonna (ingl support team) taset. Kontrollivad probleemile reageerimise kiirust .
• Tundliku info kaitsmine – aitavad kontrollida andmete turvalisust. Eriti puudutab see punkt tundlikke valdkondi nagu pangandus, tervishoid jne.

Valged häkkerid aitavad ettevõtetel hoida turvasüsteemidega seotud kulusid madalamal. Esineb reaalne oht kaotada miljoneid sellele, et süsteeme rünnatakse või leitakse süsteemne viga. Umbes 2/4 kaotatud andmete kuludest on seotud vargustega (vaata joonis 1) ja viimane 1/4 osa on seotud inimliku eksitusega. Valged häkkerid aitavad otseselt võidelda pahatahtlike rünnakute ning süsteemsete vigade vastu, aga nad kaudselt saavad madaldada ka inimfaktoritega seotud vigu, kuna nad oskavad anda hinnangut süsteemile, et see oleks võimalikult kaitstud.

Joonis 1. Andmete kaotuse maksumus iga varguseliigi kohta $

Ühiskonna ja tavakasutajate jaoks on valge häkkemine samuti väga kasulik, kuna interneti kasutajate arv kasvab iga aasta ja suure tõenäosusega aastaks 2030 kasutab 90% inimestest alates kuuendast eluaastast internetti . Valged häkkerid aitavad:

• Kasutajakogemust tõsta – interneti portaalid, kus teostatakse kontrolle, on kiiremad ja turvalisemad võrreldes nendega, mida ei kontrollita.
• Kasutajate andmed kaitsta - Valged häkkerid aitavad tõsta portaalide turvalisust.Juhul kui valge häkker häkib süsteemi ja saab enda valdusse kasutajate isiklikke andmeid, siis ta ei kasuta neid enda kasuks, vaid suhtleb nendesse nagu teiste inimeste varasse (erinevalt musta mütsi häkkeritega)
• Aitavad saavutada balanssi ühiskonna oskustes interneti kasutamisel – valged häkkerid on üsna paljude oskustega, samuti nagu mustad häkkerid. Kuna tavakasutajate kogemus ei ole tavaliselt nii kõrgel tasemel, siis valgete häkkerite abil ei ole nii suurt mustade häkkerite ülekaalu.

Eetilised probleemid seoses häkkimisega

Valgete häkkerite ees on tihti piirangud, mida nad ei tohi ületada, kuna nad võivad kogemata põhjustada süsteemi kokkukukkumise või andmete kaotuse . Tihti esineb valik, kas valged häkkerid peaksid testima reaalses keskkonnas, kus on suur oht tuua kahju, või simuleeritud keskkonnas, kus oht pole nii suur, aga ka tulemus pole garanteeritud. Näide, kus piiri ületamine tekitas üsna suurt resonantsi ühiskonnas, oli tuntud arvutimängude tarkvaraarendaja Chris Robertsi juhtum, kes väidetavasti proovis teha läbitungimise testi Boeing 737 meelelahutussüsteemi vastu . FBI andmetel oleks tema poolt tehtud testimine keset lendu võinud põhjustada palju probleeme lennu ohutusele. Vaatamata sellele, et lennunduse eksperdid kahtlevad, et esines mingi oht, on probleem ikka õhus - mis on see piir, mida valged häkkerid ei tohi oma tegevuses kunagi ületada? Ühelt poolt võib lähtuda kahju tekitamise printsiibist - kas valge häkker kavatses oma tegevusega kahju tekitada? Hea kavatsus ei tähenda alati head tegevust, kui tegevus on illegaalne. Põhimõtteliselt tuleks eristada juhtumeid, millal häkkerite tegevus on rangelt piiratud ja millal mitte. Elukriitilised süsteemid nagu haigla, lennundus, pangasüsteem jne, nõuvad rangeid piiranguid ja professionaalsust läbitungimise testimisel. Ettevõtted nagu Google, Facebook, Microsoft tihti lubavad ja toetavad avalikku testimist ning on nõus isegi häkkeritele maksma, kui nad leiavad vigu nende süsteemis. Haavatavuse avalikustamise eeskirjad (ingl vulnerability disclosure policy) tähendab, et ettevõtte ja vabakutselise agendi vahel on leping, mis kirjeldab meetodid ja instrumendid, mida võib kasutada haavatavuste leidmiseks ja kirjeldamiseks . Eetilise häkkeri tegevusel peavad olema täidetud kriteeriumid :

• Tegevusluba – tegevus peab olema seaduslik ja häkker peab olema kindel, et ta võib tegutseda ilma, et keegi saaks kannatada.
• Piirangud – eetiline häkker ei tohiks ligipääsu saamisel seda ära kasutada, rohkem kui vajalik. Selle asemel piiravad eetilised häkkerid oma tegevust sellega, mis on väärtusliku turvaalase ülevaate saamiseks hädavajalik.
• Ei jäta lahtisi otsi – eetilise häkkeri tegevus ei tohi süsteemi jätta vähem kaitstuks. Nende tegevus ei tohi jätta jälgi, mida teised võivad kasutada süsteemi rikkumiseks.
• Aus raporteering – eetiline häkker peab raporteerima oma tegevust. Ettevõttele on oluline, et nad teaksid oma nõrkustest ja teaksid kuidas neid parandada. Raporteerimine on ka oluline eetilise häkkeri vaatepunktist, et nad vajadusel saaksid hiljem tõestada oma tegevuse eesmärki.

Nende printsiibide järgimisel on häkkerite tegevus rohkem kaitstud, esineb vähem võimalus et nad midagi rikkuvad ja on vähem tõenäoline, et nad teevad midagi ebaseaduslikku, mille eest nad ise peavad hiljem vastutama. Tänu sellele on eetiline pool ettevõtetele ja ühiskonnale tagatud.

Eetiliseks häkkeriks saamise põhjused

Uudishimu

Üheks põhjuseks miks inimene IT valdkonnas võiks saada häkkeriks on uudishimu. Huvi avastada, mida süsteem võimaldab teha, mitte seda, mida ta oli mõeldud tegema. Kuid mis motiveeriks inimest oma häkkeri oskusi mitte kuritarvitada enda huvides, vaid kasutada neid teiste heaks?

Raha

Mõne jaoks on selleks motivaatoriks raha. Valge mütsi häkkerid on ühed paremini tasustatavad töötajad IT valdkonnas. Näiteks USA-s sertifitseeritud eetilise häkkeri keskmine aasta palk on 82,966 USD ning võib ulatuda kuni 142,000 USD . Lisaks sellele on mitmeid puugipreemiajahte (ingl Bug bounty program), mis pakkuvad head rahalist kompensatsiooni süsteemides turvalisust ohustavate vigade leidmise ja raporteerimise eest. Keskmine kompensatsioon kriitilise vea raporteerimise eest, mida HackerOne programmis välja makstakse, on ligi 3 000 USD . On ka ekstreemsemaid juhtumeid nagu näiteks Jay "saurik" Freeman, kes 2022 aasta veebruaris sai krüptovaluuta Ethereumi saatmise platvormi Optimism turvalisusega seotud vea raporteerimise eest 2 000 042 USD . Kuigi musta mütsi häkkeritel on samuti mitmeid võimalusi raha saamiseks, tekivad neil lisaraskused selle kasutamisel, kuna esialgu on vaja raha muuta näiliselt legaalseks.

Kuulsus

Kuulsus ja tunnustus on ka põhjuseks, miks mõni häkker otsustab kanda valget mütsi. Kasuks tulevad puugipreemia programmid, kus suurimate väljamaksete saajad satuvad rahvusvahelistesse uudistesse või "Hack The Air Force" programmi võitja saavutab tunnustuse IT maailmas . Muidugi kõige kuulsamad häkkerid on musta mütsi häkkerid, kuid enamasti nad saavutavad kuulsust siis kui neid kinni peetakse või mitte väga pikka aega enne seda. Eetiline häkkimine võimaldab saavutada kuulsust ilma vanglasse sattumiseta.

Legaalsus

Siit tuleb ka järgmine põhjus miks mõned eelistavad olla valge mütsi häkkerid musta mütsi asemel. Seaduse rikkumine ja risk olla kinni peetud ei ole iga inimese jaoks. On neid kellele meeldib häkkida, kuid nad tegelevad sellega ametlikult lepingute raames, et seadusi mitte rikkuda. Selle kohta on hästi kommenteerinud oma intervjuus tööstuse analüütikaga tegeleva ettevõtte Uptake küberturbe osakonna juhataja Matt Jakubowski "On piir, millest ma ei tahtnud üle astuda, sest mulle ei meeldi vangla. Ma pole kunagi seal olnud, aga eeldan, et mulle ei meeldi seal." .

Soov teha head

On ka neid, kellel pole muud põhjust vaja kui soov teha head. Nad on häkkerid, kelle jaoks on mõeldamatu teistele inimestele või organisatsioonidele kahju tekitamine. David Holmes küsitles valge mütsi häkkereid ning 74% küsitletutest vastasid, et nemad poleks mitte mingi summa eest, mida oleks karistamata võimalik saada, läinud üle musta mütsi häkkeriteks . Sellest võiks järeldada, et enamuse häkkerite jaoks on poole valik pigem eetiline küsimus. Muidugi peaks mainima ka, et sama küsitluse käigus selgus, et üle poole valge mütsi häkkeritest on aeg-ajalt häkkinud sõbra või kolleegi arvutisse nalja pärast.

Muud põhjused

Esineb ka häkkereid, kes alustasid musta mütsi häkkeritena, kuid hiljem läksid üle valge mütsi peale. Nende puhul on raske välja tuua mingeid tüüpilisi põhjuseid selliseks otsuseks. Kuid kuulsamad juhtumid on seotud üleminekuga valge mütsi häkkeriks pärast kinnipidamist musta mütsi häkkerina. Kõige tuntum näide on Kevin Mitnick, kes 80ndate lõpus ja 90ndate alguses oli häkkinud mitmeid suuri ettevõtteid, oli 1995 aastal kinni peetud ning pärast viie aastast vanglakaristust ta asutas ettevõtte Mitnick Security. Temast sai väga edukas valge mütsi häkker ja küberturvalisuse konsultant .

Kokkuvõte

Eetiline häkkimine on tänapäeval väga levinud ja leidub võimalusi saada ka sertifitseeritud eetiliseks häkkeriks. Eetilist häkkerit nimetatakse ka “valge mütsi” häkkeriks, kes kasutab samu võtteid, mida pahatahtlik “musta mütsi” häkker, et tuvastada IT-süsteemides turvaauke. Eetiliseks häkkimiseks teeb selle tegevuse asjaolu, et eetiline häkker annab ülevaate kompromiteeritud kohtadest süsteemi parandamise eesmärgil. Häkkimise puhul on eetilisteks probleemideks ennekõike ohutus ja isiklikele andmetele ligipääs. Eetilisel häkkimisel pannakse turvasüsteemide testimise piirid väga konkreetselt paika, et vähendada potentsiaalseid riske.