Білий капелюх () — термін, яким позначають хакера або експерта з комп'ютерної безпеки, який спеціалізується на тесті на проникнення і інших перевірках інформаційних систем. Багато джерел помилково пов'язують хакерську етику лише з білими капелюхами, хоча це поняття є ширшим. Назва як чорних, так і білих капелюхів походить з вестернів, де . Білі хакери шукають уразливості на добровільній основі або за плату з метою допомогти розробникам зробити їх продукт більш захищеним. Тому важливим є уникнення негативної конотації слова хакер, оскільки їх діяльність не обов'язково передбачає порушення законодавства. Сам термін хакер — це швидше спеціаліст високого рівня з роботи інформаційних систем. Тому доцільніше говорити про «етичних» хакерів і кіберзлочинців.
Білі капелюхи працюють у командах, що називаються: «sneakers», червоні команди () та ().
Історія
Першою атакою білих капелюхів можна вважати «перевірку безпеки» операційної системи Multics, проведену повітряними силами США для подальшого «використання її, як дворівневої (таємної/дуже таємної) системи». За результатами тестування Multics виявилась «значно краще, ніж інші системи», але також вона мала «…вразливості в апаратній безпеці, безпеці програмного забезпечення та процедурній безпеці». Ці недоліки можна було виявити за допомогою «відносно малої кількості зусиль». Атака проводилась в умовах, близьких до реальності, тому і результати показали ті вразливості, через які надалі міг відбутися напад. Учасники атаки виконували як напади для збору даних, так і прямі атаки, які могли б пошкодити систему.
Існує декілька відкритих звітів, що описують хакерську етику збройних сил США.
До 1981 року Нью-Йорк Таймс описував білих капелюхів, як «шкідливу, але хибно позитивну хакерську традицію». Коли співробітник виявив можливість злому пароля, яку він використовував проти клієнтів, компанія покарала його не за сам злом, а за те, що не повідомив про це раніше. В листі про догану зазначено, що компанія «…заохочує працівників виявляти слабкі місця у програмному забезпеченні».
Вперше ідею перевірки безпеки за допомогою злому сформулювали Ден Фармер та . Маючи на меті покращити рівень безпеки Інтернету та Інтранету, вони описували те, як вони збирали достатню кількість інформації про свою ціль, щоб поставити її під загрозу. Також вони навели декілька конкретних прикладів, як цю інформацію можна використати для того, щоб отримати контроль над ціллю, та як запобігти такому нападу. Потім вони зібрали все, що було використано ними для нападу, в один файл і виклали його в відкритий доступ. Їх програма отримала назву , або просто SATAN. У 1992 році ця подія була популярною темою у ЗМІ.
Тактика До поширених методів атак належать: DoS-атаки метод соціальної інженерії
Nessus Nexpose Burpsuite Metasploit
Діяльність Іноді компанії оголошують так звані «конкурси» на виявлення помилок в програмі, використовуючи програму Bug Bounty, що дозволяє як чорним, так і білим хакерам діяти цілком легально і без шкоди для компанії, щороку проводиться сотні таких конкурсів з можливістю заробити сотні тисяч доларів. Зазвичай білі хакери працюють в ІТ компаніях, що займаються кібербезпекою, використовуючи «тестування на проникнення» з метою знайти уразливі ділянки програмного забезпечення клієнта, це вимагає високого рівня навичок і знань, тому їх кількість дуже незначна.
Білий хакінг в Україні
Команда КПІ ім. Ігоря Сікорського dcua(DefCon-UA CTF Team) була визнана кращою з-поміж більш як 12 тисяч команд «білих» хакерів усього світу в рейтингу CTFtime у 2016 році.Команду dcua створено в 2012 році. Її лідером і тренером є науковий співробітник фізико технічного інституту (ФТІ) Микола Ільїн. До складу команди також входять його брат, аспірант ФТІ Костянтин Ільїн, Віктор Ситник, випускник ФТІ Микола Овчарук, випускник Інституту спеціального зв’язку та захисту інформації КПІ ім. Ігоря Сікорського Андрій Данилюк та інші. Взагалі команда налічує близько 43 активних гравців, переважна більшість з яких навчається або закінчила фізико технічний інститут.
Див. також Ризик (інформаційна безпека) Хакерська етика Bug Bounty Полювання на кіберзагрози Сірий капелюх Чорний капелюх
Примітки