Το «ηθικό» χάκινγκ βοηθά οργανισμούς και επιχειρήσεις να μάθουν για τα κενά ασφαλείας τους
Η εικόνα που έχουν οι περισσότεροι για τους χάκερς είναι ότι πρόκειται για προγραμματιστές που αποκτούν πρόσβαση σε υπολογιστικά συστήματα και ιστοσελίδες έχοντας κακόβουλες προθέσεις: από την αλλαγή του περιεχομένου της ιστοσελίδας μέχρι την κλοπή δεδομένων και χρημάτων.
Όμως, η πραγματικότητα είναι πως υπάρχουν διάφορες κατηγορίες χάκερ. Υπάρχουν, φυσικά, εκείνοι που έχουν κακόβουλες προθέσεις, όπως υπάρχουν και οι αποκαλούμενοι white hat χάκερς, ήτοι προγραμματιστές που επιδιώκουν μεν να αποκτήσουν πρόσβαση σε υπολογιστικά συστήματα αλλά ο στόχος τους είναι να εντοπίσουν τα κενά ασφαλείας που υπάρχουν σε αυτά και να ενημερώσουν σχετικά τα αρμόδια στελέχη προκειμένου να επιδιορθώσουν τα όποια ζητήματα.
Ο όρος white hat χάκερς χρονολογείται από τις αρχές της δεκαετίας του ’90 και προέρχεται από τις ταινίες γουέστερν όπου ο «καλός» φορούσε συνήθως άσπρο καπέλο και ο «κακός» μαύρο. Γι’ αυτό και οι κακόβουλοι χάκερ αποκαλούνται και black hat hackers.
Οι white hat χάκερς ασχολούνται με το αποκαλούμενο και ethical hacking (ή «ηθικό» χάκινγκ), το οποίο στο εξωτερικό έχει αρχίσει να κερδίζει έδαφος σε δημοτικότητα. Δεν είναι λίγοι οι προγραμματιστές που προτιμούν να εντοπίζουν κενά ασφαλείας και να ενημερώνουν τους ιθύνοντες παρά να τα εκμεταλλεύονται.
Όσον αφορά στην Ελλάδα, η χώρα μας είναι αρκετά πίσω. «Απ’ όσο γνωρίζω ο αριθμός των white hat χάκερς είναι σχετικά περιορισμένος» σημειώνει στο CNN Greece o Δημήτρης Χατζηδημήτρης, ο οποίος είναι από τα πιο γνωστά ονόματα στην εγχώρια κοινότητα. «Ένας βασικός λόγος είναι πως στο εξωτερικό υπάρχουν αμοιβές για όσους εντοπίζουν κενά στην ασφάλεια συστημάτων και ιστοσελίδων και τα αναφέρουν στα αρμόδια στελέχη προκειμένου να επιδιορθωθούν πριν υπάρξει «κακόβουλες» κυβερνοεπιθέσεις. Στην Ελλάδα δεν υπάρχει καν κάποιας μορφής ηθική αναγνώριση» επισημαίνει ο κ. Χατζηδημήτρης, ο οποίος είναι στέλεχος στην EU-LISA, έναν οργανισμό της Ευρωπαϊκής Ένωσης που ασχολείται με τη διαχείριση και υποστήριξη των μεγάλων υπολογιστικών συστημάτων στην ΕΕ.
Σημειωτέον πως η Ελλάδα είναι μοναδική περίπτωση όπου το ethical hacking μπορεί να έχει και νομικές επιπτώσεις για όποιον ασχολείται με αυτό σε περίπτωση που δεν έχει πάρει άδεια από τον οργανισμό, στα συστήματα του οποίου αναζητά κενά ασφαλείας. Αντιθέτως, στο εξωτερικό υπάρχουν και αμοιβές, ενώ ένας τεράστιος αριθμός οργανισμών έχει υλοποιήσει προγράμματα bug bounty, όπου επιβραβεύουν -και μάλιστα με προκαθορισμένα ποσά ανάλογα με το επίπεδο του προβλήματος που θα εντοπιστεί- όσους βρίσκουν και αναφέρουν αμέσως κάποιο κενό στην ασφάλεια των συστημάτων τους.
Ελληνικές περιπτώσεις
Όσοι ασχολούνται με το χώρο της κυβερνοασφάλειας γνωρίζουν ότι πρακτικά δεν υπάρχει κάποιο υπολογιστικό σύστημα που να είναι 100% ασφαλές. Ενδεχομένως, όταν ξεκινήσει να λειτουργεί να είναι αλλά με το πέρασμα του χρόνου και καθώς τα εργαλεία και οι τακτικές που χρησιμοποιούν όσοι πραγματοποιούν κυβερνοεπιθέσεις εξελίσσονται είναι πολύ πιθανό να εμφανιστούν κενά ασφαλείας. Και φυσικά υπάρχει πάντα και η περίπτωση του ανθρώπινου λάθους ή της παράβλεψης. Ειδικά όταν αναφερόμαστε σε συστήματα και προγράμματα με εκατοντάδες χιλιάδες γραμμές κώδικα.
Στην περίπτωση της Ελλάδας, για παράδειγμα, ο κ. Χατζηδημήτρης έχει εντοπίσει αρκετές περιπτώσεις όπου υπήρχαν κενά ασφαλείας σε ιστοσελίδες δημόσιων οργανισμών. Η πιο πρόσφατη είναι αυτή της ιστοσελίδας του «Σύζευξις», ενώ αρκετή δημοσιότητα είχε πάρει και η περίπτωση του ΕΦΚΑ. Στη σχετική λίστα περιλαμβάνονται οι ιστοσελίδες του Taxisnet, του ΟΑΕΔ, της Διαύγειας, των υπουργείων Εθνικής Άμυνας, Ψηφιακής Διακυβέρνησης, Εξωτερικών, Μετανάστευσης και Ασύλου, του υφυπουργείου Αθλητισμού, της ΔΕΗ, του ΟΠΕΚΕΠΕ, της ΕΡΤ και όλων των πανεπιστημιακών ιδρυμάτων. Είναι προφανές ότι πρόκειται για ιστοσελίδες που συνήθως αποτελούν στόχους για χάκερ από άλλα κράτη που αρέσκονται σε τέτοιου είδους κυβερνοεπιθέσεις που έχουν και «εθνικό» υπόβαθρο.
Σε όλες τις περιπτώσεις, οι αρμόδιοι ενημερώθηκαν άμεσα για το ζήτημα που υπήρξε και όπως αναφέρει ο κ. Χατζηδημήτρης, «στις περισσότερες περιπτώσεις, υπήρξε άμεση αντιμετώπιση των κενών ασφαλείας, το οποίο είναι και το βασικό ζητούμενο όσον αφορά το ethical hacking».
