اواسط مهرماه سايت itiran.com هك شد. نفوذ گراين سايت بعد از اين كار در نامه اي به برخي جرايد هدف خود را متوجه كردن گردانندگان اين سايت به اين نكته كه سايتشان از نظر امنيتي ايمن نيست ، ذكر كرد. و ي در ادامه مي گويد كه «... با اين اوصاف به نظر مي رسد كاركردن ما به صورت white hat (كلاه سفيد) فايده اي ندارد، تنها راه black hat (كلاه سياه) بودن است...» (ابرار اقتصادي ۸۱/۷/۱۴)
در حقيقت اگر نيت اين نفوذگر را باور كنيم بايد بگوييم، كار وي gray hat (كلاه خاكستري ) بودن است.
مطلب زير كه از سايت news.com استخراج شده است نگاهي به بحث كلاه خاكستري ها و وضعيت آنها در آمريكا دارد.
كوين فينيستر (kevin Finisterre) اعتراف كرده است به نفوذ گرهاي كلاه سفيد (white hat hackers) بيشتر نظر دارد ولي هيچ وقت نيز تصور نمي كرده، ممكن است اقدامات شركتش تهديد و پيگيري شركت HP را به دنبال داشته باشد.
شركت وي كه در زمينه امنيت كامپيوتري فعاليت مي كند حدود ۲۰ مشكلي را كه در سيستم عامل Tru64 وجود داشت، به HP اطلاع داد. همزمان با فعاليت هاي HP براي برطرف كردن اين مشكلات ، يكي ديگر از كارمندان شركت يكي از اين موارد را در اينترنت مطرح كرد و راههاي سوء استفاده از اين مشكل را بيان داشت اما اين مسأله موجب تهديد HP به اقامه دعوي شد.
فينيستر كه اين كار را داوطلبانه انجام داد و بابت پيدا كردن اين مشكلات پولي از HP دريافت نكرده بود، مي گويد «از اين پس قبل از انجام داوطلبانه كارهاي اين چنيني دوبار فكر مي كنم».
اين مشاور كامپيوتر ۲۲ ساله مي گويد : «با تصويب قوانين جديد بايد تصميم بگيريد كدام طرف اين خط نازك قرار داريد: كلاه سياه يا كلاه سفيد». در ماههاي اخير همه نفوذ گرها (با هر نوع نيت وسابقه اي) مجبور شده اند با توجه به قوانين جديد، اعمال شديدتر قوانين وملاحظات بيشتر كارفرما بيشتر راجع به كارهاي خود فكر كنند».
مسأله بين دو گروه كاملاً متفاوت است. در يك طرف كلاه سفيدها قرار دارند كه به قوانين احترام مي گذارند ومعتقدند مشكلات امنيتي نرم افزارها را فقط بايد با سازنده نرم افزار و يا نفر سوم مطمئني در ميان گذاشت. در طرف ديگر كلاه سياه ها قرار دارند كه فقط به دسترسي هاي غيرمجاز وشكستن قفل ها تمايل دارند. دراين ميان كلاه خاكستري ها هم هستند عده اي كه زماني اعمالشان قابل قبول بود ولي باتوجه به وضعيت جديد متوجه شده اند كارهايي مثل مطلع كردن عموم از مشكلات امنيتي يك نرم افزار ممكن است منجر به محكوميت به زندان شود.
حتي كاخ سفيد هم دراين مسأله صاحب نظر است . البته حضور چنين افرادي براي پيداكردن بعضي مشكلات لازم وتأييد شده است ولي در كنار اين همچنين عنوان مي شود كه كار را نبايد دست هركسي سپرد. اما اعتقاد غالب به اين سمت گرايش دارد كه وجود كلاه خاكستري ها بي معني است يا بايد كلاه سفيد بود يا كلاه سياه.
اين درحالي است كه اكثر نفوذگرهاي جدي از كلاه خاكستري ها محسوب مي شوند، يعني كساني كه به قصد خرابكاري نفوذ نمي كنند ولي وقتي متوجه مشكلي مي شوند هم به جاي مطرح كردن خصوصي ، آن را براي عموم مطرح مي كنند. از طرف ديگر بسياري از كارشناسان امنيتي نگران هستند كه مبادا مشكل بعدي يا نرم افزار بعدي كه طراحي كنند ، آنها را به دردسر بيندازد.
يكي از كارشناسان اين چنيني ضمن انتقاد به وضعيت كنوني مي گويد اين روزها هيچ كاري نمي توان كرد.قبلاً اگر نفوذي انجام مي شد ، همه آن را به نيكي تعبير مي كردند (حتي اگر اين طور نبود) ولي اين روزها از كوچكترين حمله و يا نفوذي به تروريسم تعبير مي شود.
نكته اي كه مسأله را پيچيده تر كرده است ، تعريف گنگ نفوذگري مسؤولانه است . اگرچه اين موضوع مفصلاً در قانون بحث شده است وبطور متوسط ماهي يك بار بحث هاي داغي در مورد آن كه آيا يك نفوذگري بخصوص مسؤولانه بوده است يا خير، مطرح مي شود.
عبارت «كلاه خاكستري ها» توسط يكي از گروههاي قديمي نفوذگرها به نام لوفت (Loft) ابداع شد. اين گروه از يك طرف مي خواست خود را از گروه متخصصان شركتي جدا كند و درعين حال كاري هم به گروه كلاه سياه ها نداشته باشد . درحال حاضر اين عبارت شامل بيشتر مشاوران و متخصصان امنيتي مستقل ومحققان امنيت شركتها مي شود.
يكي از اعضاي سابق اين گروه كه درحال حاضر شركت امنيتي ومشاوره اي خود را اداره مي كند، مي گويد ما عبارت «كلاه خاكستري» را انتخاب كرديم تانشان دهيم مستقل هستيم وبا هيچ شركت يا محصول خاصي نداريم. ولي بعضي اعتقادي به وجود منطقه خاكستري ندارند حتي اگر كسي به شبكه اي نفوذ كند تا گزارش آن مشكلات امنيتي را فقط به مدير شبكه ارائه دهد. اين روش بود كه ادرين لامو (Adrian Lamo) را به شهرت رساند. ازجمله شبكه هايي كه وي در آنها نفوذ كرد ، World com، نيويورك تايمز، AOL و Excite بودند. وي معمولاً پس از نفوذ، اين مشكلات را هم با شركت مربوطه درميان مي گذاشت و هم با رسانه ها.
به عقيده بسياري از جمله كارشناس يكي از شركتهاي مشاوره اي، افرادي مثل لامو مجرم هستند. وي عقيده دارد هركس خاكستري است ، سياه است ، نه بخاطر اين كه نمي فهميم چه كار مي خواهند بكنند بلكه به اين خاطر كه مي بينيم درنهايت چه اتفاقي مي افتد. وقتي مدير شبكه متوجه نفوذ مي شودچه كار بايد بكند به جز آن كه بدترين حالت را درنظر بگيرد وبراساس آن عمل كند وي راهي براي تشخيص هويت نفوذگر ندارد وبنابراين بايد هرنفوذگري را به عنوان مجرم درنظر گرفت وبا وي برخورد كرد.
سال گذشته FBI ديميتري اسكله يروف ( Dmitri sklyarov) را كه يك برنامه نويس و نفوذگر بود، به جرم توليد برنامه اي كه مي توانست لايه محافظتي فورت e-book شركت Adobe را بردارد، دستگير كرد. شركت Adobe ابتدا FBI را براي اين دستگيري تحت فشار قرار داده بود ولي بعد پشيمان شد. در حال حاضر وزارت دادگستري درحال پيگيري اعلام جرم عليه شركت اسكله يروف به نام Elcomsoft است.
اين دستگيري باعث نگراني كساني شد كه ايرادات نرم افزارها را پيدا مي كنند. بعضي محققان بين المللي كه در كنفرانس نفوذگري Defcon امسال شركت كرده بودند، با توجه به وضعيت قوانين آمريكا ابراز مي كردند در كنفرانس سال آينده شركت نخواهند كرد.
يك وكيل معتقد است قوانين جديد بسيار مبهم و پيچيده هستند و اگرچه در قوانين براي تحقيقات امنيتي پيش بيني هايي شده است ولي اين قوانين در عين حال به وسيله اي تبديل شده اند كه شركتها به استفاده از آن منتقدان و متخصصان امنيت را ساكت كنند. به عنوان مثال يك استاد دانشگاه ارائه تحقيقات خود در مورد امنيت استانداردهاي موسيقي را به خاطر تهديدشدن به تعويق انداخت.
نكته قابل توجه آن كه بسياري از شركتهايي كه در مورد امنيت شبكه ها و نرم افزارها فعاليت مي كند (به اصطلاح كلاه سفيدها) خود براي تحقيقات نشان از نفوذ گرما استفاده مي كند. مدير يكي از اين شركت ها مي گويد من واژه نفوذگر رابه عنوان يك واژه حرفه اي به كار مي برم. به نظر من نبايد محققان را به خاطر كمبودهاي خودمان سرزنش كنيم بلكه بايد اجازه دهيم تا مسائل روشن شوند.
البته همه شركاي چنين سياست هاي روشني را اتخاذ نمي كنند، برخي سياست «نپرس و نگو» را پي مي گيرند به اين معني كه مي گويند نفوذگرها را استخدام نمي كنند ولي در عمل از آنها بهره مي گيرند.
جو كنوني طوري است كه برنامه نويسان و نفوذگرها مجبورند به قوانين و سياست ها بيشتر توجه كنند، حساسيت هايي كه باعث شده ايشان كمتر مشكلات نرم افزارها و امنيت شبكه اي را گزارش دهند.
مباحثات اين روزها باعث تعريف هاي جديدي از نفوذگري مسؤولانه شده است. يك نفوذگر ضوابطي را براي برقراري ارتباط منظم بين محققان امنيتي و سازندگان نرم افزارها تعريف كرده است . مثلاً اين كه شركت ها هر پنج روز يكبار محققان را به روز برسانند.
يك شركت ديگر قوانين را براي محققان مشخص تر كرده است. به جاي آن كه هر پنج روز يك بار به روز رساني انجام شود، شركت يك هفته فرصت دارد نظرخود را راجع به يافته جديد محقق اعلام كند و سي روز فرصت دارد تا مشكل را حل كند.
اين گفت وگوها زمينه مناسبي براي حل مشكلات به حساب مي آيد. درحالي كه نفوذگرها با يك شكل راضي مي شدند چنين محققاني بايد تمام مشكلات را پيدا كنند.
و درحالي كه محققان و شركت ها هر روز بيشتر روي مسائل امنيتي شبكه ها و سيستم ها تمركز مي كنند، آنها كه خود را خاكستري مي نامند بايد تصميمات جديدي براي خود بگيرند. به عقيده يك كارشناس رنگ كلاه مهم نيست، بايد باور كرد وابستگي ما به شبكه هاي كامپيوتري روزبه روز بيشتر مي شود.
سيد احمد لواساني
