Etik hackerlık nedir

Etik hacker ile saldırgan arasındaki fark tam olarak nerede?

İnsanların genelde tahmin ettiği yerlerin hiçbirinde. Araçlarda değil, onlar aynı. Bilgide değil, o da aynı. Yapılan işte bile değil, çünkü bir sızma testinin adımları gerçek bir saldırının adımlarına bilerek benzer ve değerleri tam bu benzerliktedir.

Etik hackerlık, aynı işin, başlamadan önce alınmış ve yazıya dökülmüş bir izinle ve bulunan her şeyi sistemin sahibine bildirme yükümlülüğüyle yapılmasıdır. Hepsi bu. Amerikan standartlar enstitüsünün teknik rehberi bu belgeye angajman kuralları der ve sözlüğünde bütün tartışmayı tek cümlede bitiren bir tanım verir: angajman kuralları güvenlik testi başlamadan önce belirlenir ve test ekibine "ek izinlere gerek olmadan tanımlı faaliyetleri yürütme yetkisi" verir. Etik hackerın sahip olduğu ve saldırganın olmadığı şey, birinin ona verdiği bir yetkidir.

Bu sayfanın başındaki terazinin kefelerini dengede tutan şey budur. Bir kefeye ne koyarsanız diğerinde de vardır: aynı tarama, aynı çözümleme, bir zayıflığı kanıtlamak için aynı çaba. İkisini ayıran şey iki kefenin hiçbirinde değildir.

Bu tanımdan, çoğunun duymak istemediği rahatsız edici bir sonuç çıkar. Beceri sizi etik yapmaz, iyi niyetiniz de yapmaz. Bir şirketin sitesine "onlara yardım etmek için" izinsiz uğrayan biri, tanım gereği ve yasa önünde saldırganın yaptığını yapmıştır; sonradan e posta yazıp hiçbir şey istemese bile. İzin yalnızca sistemin sahibinin verebileceği bir şeydir ve yalnızca işten önce bir anlam taşır; sonrasında o bir açıklamadır, izin değil.

Sızma testi pratikte neye benzer?

Yaygın imge, siyah bir ekranın önündeki tek kişidir. Gerçek olan ise çoğunlukla kâğıt işidir. Amerikan standartlar enstitüsünün SP 800-115 rehberi sızma testini "değerlendiricilerin bir uygulamanın, sistemin ya da ağın güvenlik özelliklerini aşma yöntemlerini belirlemek için gerçek dünya saldırılarını taklit ettiği güvenlik testi" olarak tanımlar ve dört aşamaya böler: planlama, keşif, saldırı, raporlama.

Herkesin atladığı aşama ilkidir. Aynı belge planlama aşamasında "hiçbir gerçek test yapılmaz" der açıkça: kurallar belirlenir, yönetim onayı tamamlanır ve belgelenir, test hedefleri konur. Yani tek bir komut çalışmadan önce neyin kapsamda olduğu, neyin olmadığı, hangi saatlerin izinli olduğu ve bir şey bozulursa kimin uyandırılacağı çözülmüş olmalıdır.

Son aşama da aynı ölçüde görünmezdir ve aslında ürünün kendisidir. Müşterinin satın aldığı şey bir içeri giriş değil, bir rapordur: ne bulundu, ne kadar ciddi, nasıl yeniden üretilir ve neyin değişmesi gerekir. İçeri girip kullanılabilir bir rapor üretmemiş bir ekip işini yapmamıştır.

Sık satılan ama satılmaması gereken bir ayrım daha var. Aynı belge bunu açıkça söyler: bir zafiyet tarayıcısı yalnızca bir zayıflığın olası varlığını kontrol eder, oysa sızma testinin saldırı aşaması o zayıflığı var olduğunu doğrulamak için kullanır. Dolayısıyla otomatik bir tarayıcının çıktısı, ne kadar renkli ve uzun olursa olsun, sızma testi değildir; bir olasılıklar listesidir ve önemli bir kısmı yanlış alarmdır. Size bir araç çıktısını sızma testi diye satan biri, asıl zor olan aşamayı çıkarıyordur.

Biz de tam bu sitede ikisini birden taşıyor ve bilerek ayrı tutuyoruz: yalnızca genel sayfayı ve site başlıklarını okuyan ücretsiz bir tarama ve hizmet sayfamızın, sahibinin yazılı izni olmadan yapılmadığı ifadesiyle tanımladığı bir sızma testi.

Beyaz, siyah ve gri şapka, romantikleştirmeden

Herkesin duyduğu ve tam anlamı daha az söylenen üç terim. Beyaz şapka izinle çalışır ve bulduğunu sistemin sahibine verir. Siyah şapka izinsiz girer ve bulduğunu kendi çıkarı için kullanır. Gri şapka ise izinsiz giren ama sömürme niyeti olmayan ve genelde sonradan haber veren kişidir.

Üçüncüsünde açık konuşmak gerekir. Gri şapka orta bir ahlaki konum değil, net bir hukuki konumdur: yaptığı şey izinsizdi ve çoğu hukuk sisteminde siyah şapkanın yaptığıyla aynı tanımı taşır. Sonradan e posta yazıp hiçbir şey istememek hakkınızda verilecek karara etki edebilir ama tanımı değiştirmez. İyi niyetin bir kalkan olduğuna inananlar genellikle o aşamaya hiç varmamış olanlardır.

Aynı şeyi doğru yapmanın yolu vardır ve karmaşık değildir: birçok şirket hata ödül programı yürütür, yani neyin kapsamda olduğunu, neyin izinli olduğunu ve raporun nereye gönderileceğini önceden ve alenen duyurmuştur. O alenî duyuru, önceden verilmiş izindir. Google un ödül programı, kurallarını kendi sayfasında yayımlayan bir örnektir.

Ve bir sitesi olan herkes için bunun bir başka yüzü var. Bir bulanın nereye bildireceğini hiçbir yere yazmadıysanız, o kişi ya kimsenin okumayabileceği genel iletişim formuna gider ya da hiç bildirmez. RFC 9116 tam bunun için vardır: sitede, güvenlik raporunun nereye gönderileceğini söyleyen düz bir metin dosyası. Bizim de henüz böyle bir dosyamız yok ve bunu bu dersin sonunda açıkça söylüyoruz.

Yasa ne der ve iyi niyet neden bir savunma değildir?

Size ait olmayan bir sisteme izinsiz erişim, pratikte her hukuk sisteminde suçtur ve İran bunun istisnası değildir. Mayıs 2009 da onaylanan bilişim suçları kanunu, İslam Ceza Kanununun Beşinci Kitabına eklendikten sonra 729. madde olan ilk maddesinde tam bunu söyler: güvenlik önlemleriyle korunan verilere ya da bilgisayar veya telekomünikasyon sistemlerine izinsiz erişim sağlayan kişi doksan bir günden bir yıla kadar hapis, ya para cezası, ya da her ikisiyle cezalandırılır.

O cümledeki iki ifade bütün işi yapar ve yavaş okunmayı hak eder. Biri "izinsiz"; bu dersin tamamının üzerinde durduğu kavramın kendisi. Diğeri "güvenlik önlemleriyle korunan"; yani ne kadar basit olursa olsun bir kilidin varlığı suçun tanımının parçasıdır. Para cezası tutarları Mart 2021 de bir bakanlar kurulu kararıyla bir kez güncellendi, dolayısıyla bir yerde okuduğunuz herhangi bir rakam artık güncel olmayabilir ve yürürlükteki metinden alınmalıdır.

İran bunda yalnız değildir ve ikinci bir örnek görmek yardımcı olur. Birleşik Krallığın 1990 tarihli Bilgisayarın Kötüye Kullanımı Yasası da ilk suçunu "bilgisayar materyaline izinsiz erişim" olarak adlandırır. Örüntü her yerde aynıdır: eksen kelime izindir; zarar değil, beceri değil ve bulduğunuzla sonradan ne yaptığınız da değil.

Gerçek iznin üç koşulu vardır ve üçü de gereklidir. İşten önce gelir, sonra değil. Yazılıdır, çünkü işler kötüye gittiği gün sözlü bir konuşmanın hiçbir değeri yoktur. Ve onu vermeye gerçekten yetkisi olan birinden gelir; bir şirketin satış çalışanı size sunucularını test etme yetkisi veremez, bir site sahibi de barındırma şirketinin altyapısını test etme yetkisi veremez, çünkü o altyapı ona ait değildir.

Ve kim olduğumuz konusunda açık olalım: biz bir web ekibiyiz, avukat değil. Yukarıdaki, bir yasa metninin tarifidir, hukuki tavsiye değil. İşiniz bu çizgiye yaklaşıyorsa, sonradan değil, harekete geçmeden önce mesleği hukuk olan biriyle konuşun.

Gerçek öğrenme yolu nereden başlar?

Birinin sizin üzerinde çalışmanız için bilerek kurduğu sistemlerden. Bu basit görünür ve aslında cevabın tamamıdır: bir alıştırma laboratuvarında izin önceden verilmiş ve hizmetin kendisine yazılmıştır, böylece dışarıda suç olan şey burada bir alıştırmadır.

Bu işin bilinen adlarını üç yer taşır. OverTheWire, kendi sunucularına uzaktan bağlanılarak oynanan bir oyunlar dizisidir ve ilk dizisi yeni başlayan biri içindir; kayıt da yoktur, ödeme de. TryHackMe ve Hack The Box un ikisi de öğrenme yolları ve etkileşimli laboratuvarlar sunar; içeriğin bir kısmı ücretsiz, bir kısmı aboneliklidir. Burada dürüst bir not gerekir: bu ikisine İrandan kayıt ve ödemenin nasıl işlediğini kontrol etmedik ve kontrol etmediğimizi yazmayız; her birinin şartlarına kendi sayfasından bakın.

Bayrağı yakala yarışmaları da aynı mantıkla işler ve bunun rekabetçi biçimidir: birinin çözülmesi için kurup yayımladığı problemler. Çoğu insan için bu okumaktan daha keyiflidir ve daha kalıcıdır, çünkü takılmak ve sonra anlamak gerçekten yaşanır.

Bir de sertifikalar. Bu alandaki iş ilanlarında üç tanesi sık geçer: saatler süren uygulamalı bir sınavla alınan OSCP, sınavı daha kuramsal olan CEH ve CompTIA nın PenTest+ sertifikası. Onlar hakkındaki tutumumuz açık: sertifika bir işe alım filtresidir, beceri kanıtı değil. Aylarca laboratuvarda çalışmış ve sertifikası olmayan biri, pratikte yalnızca sınava çalışmış birinin önündedir; ama özgeçmişi hiç okunmayabilir. Hedefiniz iş bulmaksa ikisine de ihtiyacınız var ve sırası şudur: önce beceri, sonra kâğıt.

Ve bu konuda söyleyeceğimiz son şey, çünkü bu ders oradan başladı: bu yolun hiçbir yerinde size ait olmayan bir sisteme dokunmanız gerekmez. Biri size öğrenmek için "gerçek bir hedef üzerinde pratik yapın" diyorsa, konuşma tam orada biter.