آرین تا اصطلاح " کلاه سفید " در زبان عامیانه اینترنت به یک هکر رایانه اخلاقی یا یک متخصص امنیت رایانه اشاره دارد، که متخصص آزمایش نفوذ و سایر روشهای تست است که امنیت سیستمهای اطلاعاتی سازمان را تضمین می‌کند.[۱] هک اخلاقی اصطلاحی است که معنای آن به مقوله وسیع تری نسبت به آزمایش نفوذ، اشاره دارد.[۲][۳] در مقایسه با کلاه سیاه، یک هکر مخرب، باید گفت که این اسم‌ها از فیلم‌های غربی گرفته شده‌است، جایی که کابوی‌های قهرمان و متضاد یکدیگر به‌طور سنتی در مقابل یکدیگر یک کلاه سفید و یک کلاه سیاه بر سر می‌گذاشتند.[۴] در حالی که یک هکر کلاه سفید طی اهداف مناسب و با مجوزهای لازم هک را انجام می‌دهد، یک هکر کلاه سیاه طی اهداف بد خواهانه و بدون مجوز هک را انجام می‌دهد، یک نوع سوم وجود دارد که به عنوان یک هکر کلاه خاکستری شناخته می‌شود که با اهداف خوب هک می‌کند اما در بعضی مواقع بدون اجازه هک را انجام می‌دهد.[Symantec Group ۱]
یکی از اولین نمونه‌های مورد استفاده هک اخلاقی، "ارزیابی امنیتی" بود که توسط نیروی هوایی ایالات متحده انجام شد، و در آن سیستم عاملهای Multics برای "استفاده بالقوه به عنوان یک سیستم دو سطحه (سری/ بسیار سری) مورد آزمایش قرار گرفتند". این ارزیابی مشخص کرد که "در حالی که Multics به طور قابل توجهی بهتر از سایر سیستم عاملهای معمولی بود "، "همچنان دارای آسیب پذیری در امنیت سخت افزار، امنیت نرم‌افزار و امنیت رویه ای بود"که می‌تواند با "سطح کمی از تلاش" این کاستی‌ها کشف شود.[۷] نویسندگان آزمایش‌ها خود را تحت هدایت واقع گرایی انجام دادند، بنابراین نتایج آنها به‌طور دقیق نشان دهنده انواع دسترسی یک رخنه گر به سیستم بود. آنها آزمایش‌هایی را انجام دادند که شامل تمرینهای ساده جمع‌آوری اطلاعات و همچنین حمله‌های آشکار بر روی سیستم می‌شد که ممکن است اینگونه حمله‌ها به یکپارچگی سیستم آسیب برساند. هر دو نتیجه مورد توجه مخاطبان هدف قرار گرفت. چندین گزارش غیرمستقیم دیگر وجود دارد که فعالیت هک اخلاقی را در ارتش آمریکا توصیف می‌کند.
در سال ۱۹۸۱، نیویورک تایمز فعالیت‌های کلاه سفید را بخشی از یک "رفتار بدخواهانه، اما بر اساس سنت هک کاملاً مثبت "توصیف کرد. هنگامی که یک کارمند CSS ملی وجود رمزعبور شکنیرا که در حساب‌های مشتری استفاده کرده بود فاش کرد، این شرکت او را نه به خاطر نوشتن نرم‌افزار رمز عبور شکن بلکه به دلیل عدم افشای زودهنگام این قضیه توبیخ کرد. در نامه توبیخ اظهار شده‌است: "این شرکت منافع NCSS را متوجه می‌شد و در واقع کارمندان را برای شناسایی نقاط ضعف امنیتی به VP، دایرکتوری و سایر نرم‌افزارهای حساس تشویق می‌کرد".[۸]
ایده این تاکتیک هک اخلاقی برای ارزیابی امنیت سیستم‌ها توسط Dan Farmer و Wietse Venema تدوین شده‌است. آنها با هدف بالا بردن سطح کلی امنیت در اینترنت و اینترانت، توضیح دادند چگونه توانستند اطلاعات مناسب را در مورد اهداف خود به دست آورند تا در صورت انتخاب، بتوانند امنیت را به خطر بیندازند. آنها چندین مثال خاص از چگونگی جمع‌آوری و بهره‌برداری از این اطلاعات برای به دست آوردن کنترل هدف و چگونگی جلوگیری از چنین حمله ای ارائه دادند. آنها تمام ابزارهایی را که در طول کار استفاده کرده بودند جمع کردند، آنها را در یک برنامه کاربردی ساده و آسان قرار دادند و آن را به هر کس که تصمیم به بارگیری آن گرفت، دادند. برنامه آنها با نام ابزار مدیریت امنیت برای تجزیه و تحلیل شبکه‌ها یا SATAN در سال ۱۹۹۲ با توجه زیادی از رسانه‌ها در سراسر جهان روبرو شد.[۶]
تاکتیکها
در حالی که آزمایش نفوذ از همان ابتدا روی حمله به نرم‌افزارها و سیستمهای رایانه ای متمرکز است به عنوان مثال، اسکن پورتها، بررسی نقایص شناخته شده در پروتکل‌ها و برنامه‌های کاربردی در سیستم و نصبهای پچ - هک شدن اخلاقی ممکن است موارد دیگری را شامل شود. یک هک اخلاقی تمام عیار ممکن است شامل ایمیل زدن به کارمندان باشد که به گونه ای از آنها جزئیات رمز عبور را بپرسند، از طریق صندوق‌های مربوط به حذف شروع به کاویدن کنند و معمولاً بدون اطلاع و رضایت از افراد، مانع‌های دفاعی را می‌شکنند و وارد می‌شوند. فقط مالکان، مدیر عاملان و اعضای هیئت مدیره (دارندگان سهام) که درخواست چنین بررسی امنیتی از این افراد را دارند، آگاه هستند. برای تکرار برخی از تکنیک‌های مخرب یک حمله واقعی، هکرهای اخلاقی ممکن است سامانه‌های آزمایش کلون شده را ترتیب دهند، یا اگر اهمیت سیستم‌ها پایین باشد در اواخر شب هک را انجام بدهند.[۳] در اکثر موارد اخیر، این هک‌ها برای طولانی مدت (روزها، اگر نه هفته‌ها) به یک سازمان ادامه پیدا می‌کند. برخی از نمونه‌ها شامل گذاشتن درایوهای USB با نرم‌افزار پنهان خودکار شروع به کار در یک مکان عمومی است که گویی شخصی درایو کوچک را گم کرده و یک کارمند ناشناس آن را پیدا کرده و آن را گرفته‌است.
این روشها آسیب پذیریهای شناخته شده امنیتی را شناسایی و از آنها بهره‌برداری می‌کند تا از دستیابی به مناطق امن جلوگیری شود. آنها می‌توانند این کار را با مخفی کردن نرم‌افزارها و «درهای پشتی» سیستم انجام دهند که می‌توانند باعث دسترسی به اطلاعات توسط هکر غیراخلاقی، معروف به «کلاه سیاه» یا «کلاه خاکستری» شوند.
قانونی بودن در انگلیس
Struan Robertson، مدیر حقوقی Pinsent Mason LLP و سردبیر OUT-LAW.com می‌گوید: "به طور کلی، اگر دسترسی به سیستم مجاز باشد، هک کردن اخلاقی و قانونی است. اگر اینگونه نباشد، طبق قانون سوء استفاده از رایانه تخلف صورت گرفته‌است. جرم دسترسی غیرمجاز همه چیز را از حدس زدن گذرواژه، دسترسی به حساب وب ایمیل شخصی، تا سرکوب امنیت یک بانک در بر می‌گیرد. حداکثر مجازات دسترسی غیرمجاز به رایانه دو سال حبس و جزای نقدی است. مجازات‌های بالاتر هم هست - تا ۱۰ سال زندان - هنگامی که هکر همچنین داده‌ها را تغییر می‌دهد ". رابرتسون می‌گوید دسترسی غیرمجاز حتی برای آشکارسازی آسیب‌پذیری برای منافع بسیاری از افراد قانونی نیست. "هیچ دفاعی در قوانین هکری ما وجود ندارد که رفتار شما به سود کسی بهتر باشد. حتی اگر این همان چیزی است که شما اعتقاد دارید. "[۳]
استخدام
آژانس امنیت ملی ایالات متحده گواهینامه‌هایی مانند CNSS 4011 را ارائه می‌دهد. چنین گواهینامه ای روشهای هک اخلاقی منظم و مدیریت تیم را در بر می‌گیرد. به تیم‌های مهاجم تیم‌های «قرمز» گفته می‌شود. تیم‌های مدافع را تیم‌های «آبی» می‌نامند.[۵] هنگامی که آژانس در سال ۲۰۱۲ در DEF CON شروع به استخدام افراد کرد، به متقاضیان قول داد "اگر تعداد معدودی گرفته شده، ما می‌گوییم، موارد نادرست در گذشته شماست، نگران نباشید. شما نباید به طور خودکار فرض کنید که استخدام نخواهید شد ".[۹]
