グレーハット・ハッキング、倫理があいまいな者たち…

いわゆる「なまぬるいハッカー」は、ある日はあなたの親友であり、信頼できる従業員であっても、次の日には受け取った報酬やサービスの対価をめぐって意見を違え、最悪の悪夢に変わることがあります。今回はZARZAのエンジニアが、統計上、現在のハッカーの大半が属するというこのグレーハット・ハッキングという分類の理解を助けてくれます。

グレーハット・ハッキング、灰色の帽子はどこから来たのでしょうか？

灰色の帽子のハッカーとは、ある日は善き者であり、おそらくは同じ日に悪しき者でもある人々です。その振る舞いは、脆弱性を見つけ出す者でありながら、その修復を依頼されなかった場合には、まさに自らその脆弱性を悪用し、こうして穏便にであれ強引にであれ目的を果たすという点に表れます。

グレーハット・ハッキング、すなわち灰色の帽子のハッカーに分類される者たちは、善き者と悪しき者を「演じ分ける」人々です。言い換えれば、倫理があいまいであり、二重の道徳、あるいは都合次第の道徳を実践しています。

彼らはブラックハット・ハッカーの知識を持ち、それを使ってシステムに侵入して脆弱性を見つけ出し、その後に契約のもとで修復のサービスを「手頃な料金」で提供します。すでにシステムを知り尽くし、実際に侵入に成功しているため、通常はホワイトハッカーよりも安価です。しかしながら、システムが修復されず、代わりにバックドアが残されて、ときおり金銭を要求され続けるということもよくあります…実際のところ彼らはあまり信頼できません。多くは信頼できると言いますし、おそらく実際にそうである者もいるでしょう。これこそがグレーハット・ハッキングの特徴、すなわちあいまいさなのです。

灰色の帽子と、その歴史

ハッカーのコミュニティにおいて灰色の帽子をかぶる者とは、ときに違法に行動しながらも、その意図が疑わしい、才能あるハッカーを指します。彼らは暗黒面と、ホワイトハッキングを実践する者たちとの中間にいます。

通常、彼らは個人的な利益や悪意から攻撃するのではなく、ときには経済的な利益のために攻撃します。とはいえ、そのあいまいな倫理のもとで目的が手段を正当化する限り、「武勇伝」の過程で犯罪を犯す用意もあります。

白い帽子のハッカーが通常は企業に対して静かにセキュリティ上の欠陥を伝えるのに対して、グレーハット・ハッキングを実践する者は、ハッカーのコミュニティに知らせたり、「身代金」を要求したり、あるいは企業に知らせたうえで、ただその成り行きを眺めたりする傾向が強くなります。

灰色の帽子という用語は、1998年にL0phtというハッカー集団によって生み出されました。それ以来この言葉は、楽しみのために、あるいは他の理由から脆弱性を探して報告し、ときに大した呵責もなく一方の側からもう一方の側へと渡り歩き、しばしば互いに衝突する主張を掲げる人々と結びついてきました。そのすべてがグレーハット・ハッキングという一つの総体を形づくっています。

グレーハット・ハッキングのこうした分類や特徴のいくつかは、次のようにまとめられています。

• 悪用するのではなく守ることを意図して、セキュリティの研究に取り組むハッカー。
• 自らの仕事の延長線上で、情報システムへの攻撃と保護に関する倫理と道徳の問題に向き合う。
• 脆弱性の完全な公開を是とせず、「予備の入口」を残しておくことを好む。
• 通常、脆弱性は当該製品のベンダーに報告するが、その時機は正確でも明確でもない。

グレーハット・ハッキングは善なのか、悪なのか？

中間です。とはいえ、日々多くの事例で、彼らは自分が敬意を抱く開発元に脆弱性を報告しています。侵入によって、隠しておく価値を大きく上回る損害が生じ得ると考え、問題を報告することで自らの利益とコミュニティ全体の利益の双方に資することを選ぶのです。こうした場合、チームと開発元への敬意が決定的に重要であり、そこにこそグレーハット・ハッキングが存在する本当の意味があります。

歴史に残った事例もあります…

• 2000年4月、「{}」および「Hardbeat」として知られるハッカーが、地球上の大半のウェブサイトで使われている有名なhttpサーバーのサービス、apache.orgに不正アクセスしました。このとき彼らは、サーバーに損害を与えようとするのではなく、Apacheの人々に問題を知らせる道を選びました。
• 2010年6月、Goatse SecurityはAT&Tのセキュリティ上の欠陥を公表しました。それはiPadの利用者のメールアドレスを取得できるというものでした。同グループは、AT&Tに通知した後で、この欠陥を報道機関に公表しました。
• 2011年4月、専門家の一団が、iPhoneとiPad 3Gが利用者の訪問先を「記録」していることを突き止めました。その後Appleは、iPadとiPhoneが記録していたのは、その端末が接続し得る基地局だけであるとする声明を発表しました。

これらの事例では、グレーハット・ハッキングが大きな面倒も、下心も伴わずに、あるいは少なくともそれほど明白な下心なしに、役立ってきたことが分かります…

グレーハッカーから連絡が来たら、どうすればよいでしょうか？

ZARZAの顧客であれば、そのやり取りを信頼するエンジニアにも共有し、ご自身の事情に応じた支援と提案を受けることをおすすめします。ご自身で対処される場合にまず大切なのは、できるだけ早く内容のバックアップを取ることです。そうすれば、グレーハット・ハッキングの要求に屈しない場合でも、いずれシステムを復旧できます。

グレーハッカーが見返りを求めずに情報を提供してきた場合は疑ってかかり、開発者やエンジニアに、その経験に基づいて、検知された問題を修正する最良の手段を探して適用させ、さらに、この一件をきっかけに作られた可能性のある予備の入口を探して特定させてください。