هک اخلاقی چیست

فرق هکر اخلاقی و مهاجم دقیقا کجاست؟

در هیچ کدام از چیزهایی که معمولا حدس می زنند. نه در ابزار، که هر دو یکی است. نه در دانش، که همان است. نه حتی در کاری که انجام می شود، چون قدم های یک تست نفوذ عمدا شبیه قدم های یک حمله واقعی اند و ارزششان دقیقا به همین شباهت است.

هک اخلاقی یعنی همان کار، با اجازه ای که پیش از شروع گرفته شده و مکتوب است، و با تعهد به گزارش دادن هر چه پیدا شد به صاحب سیستم. همین. راهنمای فنی موسسه ملی استاندارد آمریکا این سند را «قواعد تعامل» می نامد و در واژه نامه اش تعریفی می دهد که کل بحث را در یک جمله تمام می کند: قواعد تعامل پیش از شروع آزمون تعیین می شود و «به تیم آزمون اختیار انجام فعالیت های مشخص شده را بدون نیاز به اجازه اضافی می دهد». یعنی آنچه هکر اخلاقی دارد و مهاجم ندارد، یک اختیار است که کسی به او داده.

و همین است که آن کفه ترازو را که بالای این صفحه می بینید صاف نگه می دارد. هر چیزی که در یک طرف بگذارید در طرف دیگر هم هست: همان اسکن، همان تحلیل، همان تلاش برای اثبات یک ضعف. چیزی که این دو را از هم جدا می کند اصلا روی هیچ کدام از دو کفه نیست.

یک نتیجه ناخوشایند از این تعریف در می آید که خیلی ها دوست ندارند بشنوند. مهارت شما را اخلاقی نمی کند و نیت خوبتان هم نمی کند. کسی که بدون اجازه به سایت یک شرکت سر می زند تا «کمکشان کند»، از نظر تعریف و از نظر قانون کار همان مهاجم را کرده است، حتی اگر بعدش ایمیل بزند و چیزی نخواهد. اجازه چیزی است که فقط صاحب سیستم می تواند بدهد و فقط پیش از کار معنا دارد؛ بعد از کار، آن دیگر توضیح است نه اجازه.

تست نفوذ در عمل چه شکلی است؟

تصویر رایج، یک نفر پشت صفحه سیاه است. تصویر واقعی، بیشترش کاغذ است. راهنمای SP 800-115 موسسه ملی استاندارد آمریکا تست نفوذ را «آزمون امنیتی که در آن ارزیاب ها حمله های دنیای واقعی را تقلید می کنند تا راه های دور زدن ویژگی های امنیتی یک برنامه یا سامانه یا شبکه را پیدا کنند» تعریف می کند، و آن را به چهار مرحله می شکند: برنامه ریزی، کشف، حمله، گزارش.

مرحله اول همان جایی است که همه از قلم می اندازند. همان سند صراحتا می نویسد در مرحله برنامه ریزی «هیچ آزمونی انجام نمی شود»: قواعد تعیین می شوند، تایید مدیریت نهایی و مکتوب می شود و هدف های آزمون مشخص می شوند. یعنی پیش از اینکه یک دستور اجرا شود، باید معلوم باشد چه چیزی در دامنه است، چه چیزی نیست، چه ساعتی مجاز است، و اگر چیزی خراب شد چه کسی را باید بیدار کرد.

مرحله آخر هم به همان اندازه دیده نمی شود و در واقع محصول کار است. کاری که مشتری می خرد یک نفوذ نیست، یک گزارش است: چه چیزی پیدا شد، چقدر جدی است، چطور بازتولید می شود و چه چیزی باید عوض شود. تیمی که وارد شده و گزارش قابل استفاده نداده، کارش را انجام نداده.

یک تفکیک هم هست که اغلب فروخته می شود و نباید. همان سند تفاوت را روشن می گوید: اسکنر آسیب پذیری فقط «امکان وجود» یک ضعف را بررسی می کند، در حالی که مرحله حمله در تست نفوذ آن ضعف را برای تایید وجودش به کار می گیرد. پس گزارش خروجی یک اسکنر خودکار، هر چقدر هم رنگی و بلند، تست نفوذ نیست؛ فهرست احتمال هاست و بخش زیادی از آن هشدار کاذب است. کسی که فهرست خروجی یک ابزار را به اسم تست نفوذ به شما می فروشد، دارد مرحله ای را که خودش سخت است حذف می کند.

خود ما هم روی همین سایت هر دو را داریم و عمدا از هم جدا نگهشان می داریم: یک اسکن رایگان که فقط صفحه عمومی و سرآیندهای سایت را می خواند، و تست نفوذ که در صفحه خدماتمان با همین عبارت آمده که بدون مجوز کتبی مالک انجام نمی شود.

کلاه سفید و سیاه و خاکستری، بدون رمانتیک کردن

سه اصطلاحی که همه شنیده اند و معنای دقیقشان کمتر گفته می شود. کلاه سفید کسی است که با اجازه کار می کند و آنچه پیدا می کند را به صاحب سیستم می دهد. کلاه سیاه کسی است که بدون اجازه وارد می شود و از آنچه پیدا می کند به سود خودش استفاده می کند. کلاه خاکستری همان کسی است که بدون اجازه وارد می شود ولی قصد سواستفاده ندارد و معمولا بعدش خبر می دهد.

و همین سومی جایی است که باید صریح بود. کلاه خاکستری یک وضعیت اخلاقی میانه نیست، یک وضعیت حقوقی روشن است: کاری که کرده بدون اجازه بوده و در بیشتر نظام های حقوقی همان تعریفی را دارد که کار کلاه سیاه دارد. اینکه بعدش ایمیل بزنید و چیزی نخواهید، شاید در تصمیم گیری درباره شما اثر بگذارد، اما تعریف را عوض نمی کند. کسانی که فکر می کنند نیت خوب سپر است، معمولا از کسانی هستند که هیچ وقت پایشان به آن مرحله نرسیده.

راه درست انجام همان کار وجود دارد و پیچیده هم نیست: بسیاری از شرکت ها برنامه پاداش اشکال دارند، یعنی پیشاپیش و به صورت عمومی اعلام کرده اند چه چیزی در دامنه است، چه کاری مجاز است و گزارش را کجا بفرستید. آن اعلامیه عمومی، همان اجازه پیشینی است. برنامه پاداش گوگل نمونه ای است که قواعدش را روی صفحه خودش منتشر می کند.

و برای کسی که سایت دارد، همین موضوع یک طرف دیگر هم دارد. اگر جایی ننوشته باشید که یک نفر پیدا کننده اشکال باید به کجا خبر بدهد، آن آدم یا سراغ فرم تماس عمومی می رود که ممکن است کسی نخواندش، یا اصلا خبر نمی دهد. استاندارد RFC 9116 برای همین ساخته شده: یک فایل متنی ساده روی سایت که می گوید گزارش امنیتی را کجا بفرستند. ما خودمان هنوز چنین فایلی نداریم و در بخش پایانی همین درس صریح گفته ایم.

قانون چه می گوید و چرا قصد خوب دفاع نیست؟

دسترسی بدون اجازه به سامانه ای که متعلق به شما نیست، در عمل در همه نظام های حقوقی جرم است، و ایران هم از این قاعده مستثنا نیست. قانون جرایم رایانه ای مصوب سوم خرداد ۱۳۸۸ در نخستین ماده اش، که بعد از الحاق به کتاب پنجم قانون مجازات اسلامی شماره ۷۲۹ گرفت، همین را می گوید: هر کس به طور غیرمجاز به داده ها یا سامانه های رایانه ای یا مخابراتی که به وسیله تدابیر امنیتی حفاظت شده است دسترسی یابد، به حبس از نود و یک روز تا یک سال یا جزای نقدی یا هر دو محکوم می شود.

دو کلمه در آن جمله همه کار را می کنند و ارزش دارد که کند بخوانیدشان. یکی «به طور غیرمجاز»، که همان مفهومی است که کل این درس رویش ایستاده. دیگری «حفاظت شده به وسیله تدابیر امنیتی»، که یعنی وجود یک قفل، هر چقدر هم ساده، بخشی از تعریف جرم است. مبلغ های جزای نقدی هم یک بار با مصوبه هیات وزیران در اسفند ۱۳۹۹ تعدیل شده اند، پس هر رقمی که جایی خواندید ممکن است دیگر به روز نباشد و باید از متن جاری خوانده شود.

ایران در این تنها نیست و دیدن یک نمونه دیگر کمک می کند. قانون سواستفاده رایانه ای بریتانیا مصوب ۱۹۹۰ هم نخستین جرمش را «دسترسی غیرمجاز به مطالب رایانه ای» می نامد. الگو در همه جا یکی است: کلمه محوری اجازه است و نه ضرر، و نه مهارت، و نه اینکه بعدا با آنچه پیدا کردید چه کردید.

پس اجازه واقعی سه شرط دارد و هر سه لازم اند. پیش از کار باشد، نه بعدش. مکتوب باشد، چون گفت و گوی شفاهی وقتی اوضاع خراب می شود ارزشی ندارد. و از کسی باشد که واقعا اختیار دادنش را دارد؛ کارمند بخش فروش یک شرکت نمی تواند به شما اجازه آزمودن سرورهایش را بدهد، و مالک سایت هم نمی تواند به شما اجازه آزمودن زیرساخت شرکت میزبان خود را بدهد، چون آن زیرساخت مال او نیست.

و بگذارید صریح باشیم درباره اینکه ما چه کسی هستیم: ما یک تیم وب هستیم و نه وکیل. آنچه بالا آمد توصیف متن قانون است و مشاوره حقوقی نیست. اگر کارتان به این مرز نزدیک می شود، پیش از انجامش با کسی که کارش حقوق است حرف بزنید، نه بعدش.

راه واقعی یاد گرفتن از کجا شروع می شود؟

از سامانه هایی که کسی عمدا ساخته تا شما رویشان تمرین کنید. این جمله ساده به نظر می رسد و در واقع کل جواب است: در آزمایشگاه تمرینی، اجازه از پیش داده شده و در خود سرویس نوشته شده، پس همان کاری که بیرون جرم است اینجا تمرین است.

سه جا در دنیا اسم های شناخته شده این کارند. OverTheWire یک مجموعه بازی است که با ورود از راه دور به سرورهای خودشان کار می کند و اولین مجموعه اش برای کسی است که تازه شروع کرده؛ ثبت نام و پرداختی هم ندارد. TryHackMe و Hack The Box هر دو مسیرهای آموزشی و آزمایشگاه های تعاملی دارند و بخشی از محتوایشان رایگان و بخشی اشتراکی است. یک نکته صادقانه هم اینجا لازم است: ما بررسی نکرده ایم که ثبت نام و پرداخت در این دو از ایران چطور است و چیزی که بررسی نکرده باشیم نمی نویسیم؛ شرایط هر کدام را روی صفحه خودشان ببینید.

مسابقه های تسخیر پرچم هم همین منطق را دارند و شکل رقابتی اش اند: مسئله هایی که کسی ساخته و منتشر کرده تا حل شوند. برای بیشتر آدم ها این سرگرم کننده تر از خواندن است و بیشتر هم می ماند، چون در آن گیر کردن و بعد فهمیدن اتفاق می افتد.

و مدرک ها. سه تای پرتکرار در آگهی های شغلی این حوزه اند: OSCP که با یک آزمون عملی چند ساعته گرفته می شود، CEH که آزمون نظری تری دارد، و PenTest+ که از سازمان CompTIA است. موضع ما درباره شان روشن است: مدرک یک فیلتر استخدام است و نه یک اثبات مهارت. آدمی که ماه ها در آزمایشگاه کار کرده و مدرک ندارد، در عمل از کسی که فقط برای آزمون خوانده جلوتر است، ولی ممکن است رزومه اش اصلا خوانده نشود. اگر هدفتان کار گرفتن است، هر دو را لازم دارید و ترتیبش این است: اول مهارت، بعد کاغذ.

و آخرین چیزی که در این باره می گوییم، چون همان است که این درس با آن شروع شد: در تمام این مسیر، هیچ جا نیازی نیست به سامانه ای که مال شما نیست دست بزنید. اگر کسی به شما گفت برای یادگیری «روی یک هدف واقعی تمرین کنید»، همان جا بحث تمام است.