Chi sono gli hacker white hat

Scopri chi sono gli hacker etici, come operano e chi sono gli hacker white hat più famosi della storia!

La parola hacker è quasi sempre associata a concetti negativi e all’illegalità, ma in realtà esistono anche hacker buoni e che operano nel rispetto di norme etiche. Sono gli hacker white hat, così chiamati per distinguerli dai black hat, che hanno scopi criminali o comunque dannosi per altre persone.

E quindi, chi è un hacker white hat? Da un punto di vista pratico, è un hacker che viene pagato dalle organizzazioni per mettere alla prova i loro sistemi di sicurezza, trovarne i punti deboli e contribuire a rinforzarne le difese.

In questo post vediamo esattamente chi sono gli hacker white hat, in cosa differiscono dai black e gray hat e come si guadagnano da vivere. Continua a leggere!

Definizione di hacker white hat

Un white hat è un hacker contrattato legalmente da un’organizzazione o da una persona per introdursi nella sua infrastruttura informatica e trovarne i punti deboli. Il termine “white hat” viene dai film western, in cui di solito i buoni indossavano un cappello bianco mentre i cattivi ne indossavano uno nero. Nel mondo degli hacker, molti white hat sono black hat che, dopo alcuni anni, sono passati alla legalità, chi per ragioni etiche, chi per necessità.

Tipi di hat hacker

Come accennato, oltre agli hacker white hat ci sono i gray hat e i black hat. Questi ultimi coincidono con lo stereotipo negativo di hacker criminale e pericoloso: utilizzano le loro abilità per scopi personali o politici e causano danni ad altre persone. Da un punto di vista pratico, quando un black hat trova una vulnerabilità in un sistema, di solito la sfrutta o la rivende nel mercato nero; un white hat, al contrario, la comunica all’azienda o al produttore di software interessato per aiutarlo a risolverla.

Poi, ci sono i gray hat, a cavallo tra le prime due categorie. Un esempio tipico di gray hat è un hacker che viola i sistemi aziendali per scopi personali, ma senza sfruttare o rivendere gli exploit che trova. In altri termini, un gray hat segue dei principi etici che a volte coincidono con gli scopi di un’organizzazione o del governo e a volte no, ma in generale le sue azioni, anche se illegali, non arrecano danno a persone o cose.

Differenze tra hacker white hat, gray hat e black hat

Tecniche degli hacker white hat

White hat e black hat hanno molte tecniche e strumenti in comune, ecco quelli più utilizzati:

• Penetration testing. I test di penetrazione servono per trovare le vulnerabilità e i punti di entrata dei sistemi, che poi vengono comunicati all’organizzazione interessata.
• Phishing via email. Le azioni di phishing legali, conosciute anche come campagne di antiphishing sono un ottimo strumento per identificare le vulnerabilità di un’infrastruttura informatica. Inoltre, vengono utilizzate per insegnare agli utenti di un sistema o di una rete come funziona il phishing, in modo da saperlo riconoscere e imparare a difendersi.
• Attacchi DoS e DDoS. L’obiettivo degli attacchi di denial of service è inviare a un sistema un volume troppo grande di richieste per farlo collassare e renderlo irraggiungibile agli utenti. Gli hacker white hat riproducono questo tipo di attacco per aiutare le organizzazioni a sviluppare una strategia di mitigazione e risposta.
• Social engineering. Si tratta di complessi attacchi offline e online in cui i cybercriminali raccolgono informazioni e manipolano il comportamento delle vittime. Un’organizzazione può chiedere a un hacker white hat di utilizzare tecniche di social engineering per mettere alla prova la sicurezza del proprio perimetro e le competenze dei propri dipendenti.
• Scansioni di sicurezza. Gli white hat utilizzano strumenti automatizzati per eseguire scansioni di applicazioni web e sistemi open source alla ricerca di vulnerabilità e falle di sicurezza.

Limiti e considerazioni legali

Nonostante gli hacker white hat siano autorizzati a forzare i sistemi dalle organizzazioni che li contrattano, devono comunque tenere presenti alcune considerazioni e limitazioni a livello legale.

Aspetti legali:

• Permesso scritto. Innanzitutto, prima di agire, gli hacker white hat devono avere l’autorizzazione scritta dell’organizzazione. Questo è uno degli elementi che servono a tracciare una linea di confine tra hacker white hat, gray hat e black hat.
• Consenso di altre aziende.Se l’hacker deve penetrare nella rete o nel sistema informatico di un partner o di una consociata dell’organizzazione principale, anche questa azienda deve autorizzarlo esplicitamente.
• Recupero di informazioni.Se il white hat riesce ad hackerare il sistema aziendale e accedere a file e dati sensibili, deve comunicarlo immediatamente all’organizzazione. Gli utenti finali non sono al corrente del suo lavoro e le normative nazionali ed europee proteggono la loro privacy e obbligano le aziende a tutelarla attivamente, anche in un caso come questo.

Limiti potenziali:

• Tempo. Gli white hat hanno a disposizione un periodo di tempo limitato per provare ad hackerare un sistema. A differenza di gray e black hat, non hanno mesi o anni per provare diverse tecniche e strategie.
• Portata. Alla maggior parte degli white hat viene chiesto di eseguire penetration test. Nella cyber kill chain ci sono altre fasi oltre alla penetrazione nel sistema, ma queste non rientrano nella portata delle consulenze chieste agli hacker white hat.

Questi sono alcuni esempi delle limitazioni e considerazioni a livello legale che si applicano al lavoro degli hacker white hat. Se da un lato restringono il loro campo d’azione, dall’altro hanno anche i loro vantaggi:

• Gli white hat possono dedicarsi all’hacking in modo legale.
• Vengono pagati per farlo.
• Le organizzazioni ottengono informazioni di prima mano con cui rinforzare le proprie misure di sicurezza.

Come si diventa un hacker white hat?

Il percorso per iniziare questa professione è simile a quello di tanti altri lavori. La maggior parte degli white hat studia e riceve una certificazione di white hat hacker rilasciata da organismi pubblici o privati.

A livello internazionale, questa figura professionale è regolata dall’Electronic Commerce Council (EC-Council), che ha fissato gli standard per la certificazione dell’hacking etico. In Italia, tuttavia, non esiste un ente pubblico o riconosciuto dal governo che emetta una certificazione di questo tipo. Di fatto, le certificazioni delle figure professionali sono uno dei punti chiave dello sviluppo della cybersecurity aziendale, oltre alle certificazioni delle operazioni aziendali vere e proprie in base allo standard ISO/IEC 27001.

LEGGI ANCHE: Le aziende con certificazione per la sicurezza dei dati sono meno esposte agli attacchi informatici.

Il programma ufficiale dell’EC-Council prevede 20 moduli che coprono oltre 300 tipologie di attacchi e 2000 strumenti di hacking diversi. L’esame della certificazione comprende inoltre l’accettazione delle 19 regole che compongono il Codice Etico dell’organizzazione, tra cui: “Proteggi la proprietà intellettuale”, “Usa le proprietà del cliente o del datore di lavoro solo nei modi e tempi autorizzati” o “Non fare parte di comunità hacker con lo scopo di diffondere e promuovere attività black hat”.

In Italia ci sono varie aziende che offrono percorsi simili ma, come abbiamo detto, nessuno di questi è ancora riconosciuto ufficialmente dal settore pubblico, ad esempio per collaborare con organizzazioni governative o con la PA.