White Hat / Black Hat (Hakerzy)
Kolory kapeluszy to skrót z westernów przeniesiony na kulturę hakerską: white hat działa za zgodą i w ramach prawa, black hat bez zgody i ze szkodą albo zyskiem przestępczym, grey hat w strefie, którą marketing lubi upraszczać, a sądy mniej.
Na blackweb.pl te etykiety pomagają czytać newsy i bug bounty. Nie zastępują kodeksu karnego. „Chciałem dobrze” bez scope nie czyni z nieautoryzowanego dostępu white hat. „Mam kontrakt” nie magicznie czyści każdą technikę poza umową.
White hat
Badacz, pentester, red team: szuka luk w systemie, na który ma pisemną zgodę i zakres. Cel to raport i poprawa, nie wyciek danych klientów. Często etykieta łączy się z programami bounty, certyfikatami i firmami consultingowymi. W praktyce white hat to proces (umowa, NDA, reguły zaangażowania), nie kolor awatara.
White hat może używać tych samych klas technik co napastnik: skanowanie, exploit w labie, social engineering w ramach uzgodnionego ćwiczenia. Różnica jest w autoryzacji i w tym, co dzieje się z danymi po teście.
Black hat
Działanie bez zgody: kradzież, ransomware, sprzedaż dostępu, fraud, boty pod credential stuffing. Motyw bywa pieniądz, ideologia, sabotaż, ciekawość z konsekwencjami. W threat intel mówi się o aktorach, grupach, TTPs. Kapelusz jest tu etykietą moralną i medialną; operacyjnie liczą się IOCs i wpływ.
Historia Silk Road i forów pokazuje, że „haker” w popkulturze miesza się z adminem bazaru, scammerem i kimś, kto tylko czyta. Na potrzeby tego hasła black hat = nieautoryzowane szkodzenie systemom i danym.
Grey hat i dlaczego słowo jest śliskie
Grey hat w lore: włamanie bez zgody, potem mail „macie lukę, naprawcie” (czasem z prośbą o nagrodę). Dla firmy to może wyglądać jak szantaż. Dla badacza jak jedyna droga, gdy nie ma VDP. Prawo w wielu jurysdykcjach nie ma spokojnej półki „grey”. Jest zgoda albo jej brak.
Lepsze ramy niż kolory: autoryzacja, scope, odpowiedzialne ujawnienie, intencja vs skutek. Kolory zostają w nagłówkach, bo są krótkie.
Dla czytelnika dziennika
Gdy tekst mówi „white hat znalazł lukę”, sprawdzaj: czy był program albo umowa. Gdy mówi „hakerzy”, pytaj o wektor i cel, nie o kapelusz. Opsec i threat model nie zależą od tego, jak napastnik się nazywa na Twitterze.
Czego tu nie ma
Nie ma romantyzacji „szarego rycerza” ani instrukcji „jak zostać white hatem w weekend”. Jest mapa etykiet i ich limitów wobec prawa i procesów disclosure.