Un hacker de sombrero blanco (o hacker de sombrero blanco , un whitehat ) es un hacker de seguridad ético . [1] [2] El hacking ético es un término que implica una categoría más amplia que solo las pruebas de penetración. [3] [4] Con el consentimiento del propietario, los hackers de sombrero blanco tienen como objetivo identificar cualquier vulnerabilidad o problemas de seguridad que tenga el sistema actual. [5] El sombrero blanco se contrasta con el sombrero negro , un hacker malicioso; esta dicotomía definitoria proviene de las películas del Oeste , donde los vaqueros heroicos y antagónicos tradicionalmente podrían usar un sombrero blanco y uno negro, respectivamente . [6] Hay un tercer tipo de hacker conocido como sombrero gris que hackea con buenas intenciones pero a veces sin permiso. [7]
Los hackers de sombrero blanco también pueden trabajar en equipos llamados " clubs de zapatillas y/o hackers ", [8] equipos rojos o equipos tigre . [9]
Uno de los primeros casos de uso de un hack ético fue una "evaluación de seguridad" realizada por la Fuerza Aérea de los Estados Unidos , en la que se probaron los sistemas operativos Multics para "un uso potencial como un sistema de dos niveles (secreto/alto secreto)". La evaluación determinó que si bien Multics era "significativamente mejor que otros sistemas convencionales", también tenía "... vulnerabilidades en la seguridad del hardware, la seguridad del software y la seguridad de procedimiento" que podrían descubrirse con "un nivel de esfuerzo relativamente bajo". [10] Los autores realizaron sus pruebas bajo una directriz de realismo, por lo que sus resultados representarían con precisión los tipos de acceso que un intruso podría lograr potencialmente. Realizaron pruebas que implicaban ejercicios simples de recopilación de información, así como ataques directos al sistema que podrían dañar su integridad; ambos resultados fueron de interés para el público objetivo. Hay varios otros informes ahora no clasificados que describen actividades de hacking ético dentro del ejército de los EE. UU .
En 1981, The New York Times describió las actividades de sombrero blanco como parte de una "tradición 'hacker' maliciosa pero perversamente positiva". Cuando un empleado de National CSS reveló la existencia de su descifrador de contraseñas , que había utilizado en cuentas de clientes, la empresa lo reprendió no por escribir el software sino por no revelarlo antes. La carta de reprimenda decía: "La empresa se da cuenta del beneficio para NCSS y alienta los esfuerzos de los empleados para identificar las debilidades de seguridad del VP, el directorio y otro software sensible en los archivos". [11]
El 20 de octubre de 2016, el Departamento de Defensa (DOD) anunció "Hackear el Pentágono". [12] [13]
La idea de aplicar esta táctica de hacking ético para evaluar la seguridad de los sistemas y señalar vulnerabilidades fue formulada por Dan Farmer y Wietse Venema . Para aumentar el nivel general de seguridad en Internet y las intranets , procedieron a describir cómo pudieron reunir suficiente información sobre sus objetivos para haber podido comprometer la seguridad si hubieran elegido hacerlo. Proporcionaron varios ejemplos específicos de cómo se podía reunir y explotar esta información para obtener el control del objetivo, y cómo se podía prevenir un ataque de este tipo. Recopilaron todas las herramientas que habían utilizado durante su trabajo, las empaquetaron en una única aplicación fácil de usar y se la regalaron a cualquiera que decidiera descargarla. Su programa llamado Security Administrator Tool for Analyzing Networks , o SATAN, recibió una gran atención de los medios de comunicación de todo el mundo en 1992. [9]
Mientras que las pruebas de penetración se concentran en atacar el software y los sistemas informáticos desde el principio (escaneando puertos, examinando defectos conocidos en protocolos y aplicaciones que se ejecutan en el sistema e instalando parches, por ejemplo), el hacking ético puede incluir otras cosas. Un hacking ético a gran escala puede incluir enviar correos electrónicos al personal para solicitar detalles de contraseñas, hurgar en los basureros de los ejecutivos, generalmente sin el conocimiento y consentimiento de los objetivos. Solo los propietarios, directores ejecutivos y miembros de la junta directiva (partes interesadas) que solicitaron una revisión de seguridad de esta magnitud están al tanto. Para intentar replicar algunas de las técnicas destructivas que podría emplear un ataque real, los hackers éticos pueden organizar sistemas de prueba clonados u organizar un hackeo a altas horas de la noche cuando los sistemas son menos críticos. [14] En los casos más recientes, estos hackeos se perpetúan a largo plazo (días, si no semanas, de infiltración humana a largo plazo en una organización). Algunos ejemplos incluyen dejar unidades USB / flash con software de inicio automático oculto en un área pública como si alguien hubiera perdido la pequeña unidad y un empleado desprevenido la hubiera encontrado y se la hubiera llevado.
Algunos otros métodos para llevar esto a cabo incluyen:
Los métodos identificados explotan vulnerabilidades de seguridad conocidas e intentan evadir la seguridad para ingresar a áreas protegidas. Pueden hacerlo ocultando software y "puertas traseras" del sistema que pueden usarse como vínculo a información o acceso que un hacker no ético, también conocido como "sombrero negro" o "sombrero gris", podría querer alcanzar.
Bélgica legalizó el hacking de sombrero blanco en febrero de 2023. [15]
En julio de 2021, el gobierno chino pasó de un sistema de denuncia voluntaria a uno en el que se exige por ley que todos los piratas informáticos de sombrero blanco informen primero de cualquier vulnerabilidad al gobierno antes de tomar cualquier otra medida para abordar la vulnerabilidad o darla a conocer al público. [16] Los comentaristas describieron el cambio como la creación de un "doble propósito" en el que la actividad de sombrero blanco también sirve a las agencias de inteligencia del país. [16]
Struan Robertson, director legal de Pinsent Masons LLP y editor de OUT-LAW.com , afirma: "En términos generales, si el acceso a un sistema está autorizado, el hackeo es ético y legal. Si no lo está, se comete un delito según la Ley de Uso Indebido de Computadoras . El delito de acceso no autorizado abarca todo, desde adivinar la contraseña hasta acceder a la cuenta de correo web de alguien o vulnerar la seguridad de un banco. La pena máxima por acceso no autorizado a un ordenador es de dos años de prisión y una multa. Hay penas más altas (hasta 10 años de prisión) cuando el hacker también modifica datos". El acceso no autorizado, incluso para exponer vulnerabilidades en beneficio de muchos, no es legal, afirma Robertson. "Nuestras leyes contra el hackeo no permiten defender que tu comportamiento sea por el bien común, incluso si es lo que crees". [4]
La Agencia de Seguridad Nacional de los Estados Unidos ofrece certificaciones como la CNSS 4011. Dicha certificación cubre técnicas de piratería informática ordenadas y éticas y la gestión de equipos. Los equipos agresores se denominan equipos "rojos". Los equipos defensores se denominan equipos "azules". [8] Cuando la agencia reclutó en DEF CON en 2020, prometió a los solicitantes que "si tienen algunas, digamos, indiscreciones en su pasado, no se alarmen. No deben asumir automáticamente que no los contratarán". [17]
Un buen "sombrero blanco" es un empleado hábil y competitivo para una empresa, ya que puede ser una contramedida para encontrar errores y proteger el entorno de red de la empresa. Por lo tanto, un buen "sombrero blanco" podría traer beneficios inesperados en la reducción del riesgo en los sistemas, aplicaciones y puntos finales de una empresa. [18]
Investigaciones recientes han indicado que los hackers de sombrero blanco se están convirtiendo cada vez más en un aspecto importante de la protección de la seguridad de la red de una empresa. Más allá de las pruebas de penetración, los hackers de sombrero blanco están desarrollando y modificando sus conjuntos de habilidades, ya que las amenazas también están cambiando. Sus habilidades ahora incluyen ingeniería social , tecnología móvil y redes sociales . [19]
{{cite journal}}: CS1 maint: multiple names: authors list (link){{cite web}}: CS1 maint: multiple names: authors list (link){{cite web}}: CS1 maint: multiple names: authors list (link)