White hat
Un white hat (en français : « chapeau blanc ») est un hacker éthique ou un expert en sécurité informatique qui réalise des tests d'intrusion et d'autres méthodes de test afin d'assurer la sécurité des systèmes d'information d'une organisation. Par définition, les « white hats » avertissent les auteurs lors de la découverte de vulnérabilités. Ils s'opposent aux black hats, qui sont les hackers mal intentionnés.
MĂ©thodes et tactiques
Liste non exhaustive :
- Attaques par déni de service (DDoS) ;
- Ingénierie sociale (social engineering) ;
- Scanneurs de vulnérabilités ou analyseur de réseaux (exemples : w3af, Nessus, Nmap) : balayage des ports ouverts sur une machine ou sur un réseau donné ;
- Frameworks, tels que par exemple Metasploit.
Un hacker étant un « bidouilleur » informatique, les « black hats » comme les « white hats » peuvent être assimilés à des hackers, en ce sens qu'ils bidouillent les systèmes d'information, allant jusqu'à découvrir des vulnérabilités non rendues publiques et jamais exploitées, que l'on qualifie dans le jargon informatique de « zero day » ou « zéro-jour » d'utilisation. Jusqu'à cette étape la différence entre les couleurs de chapeau n'est pas encore faite. Se pose alors la question de savoir si cette vulnérabilité doit être rendue publique ou non.
Dans l'absolu, les « white hats » prônent la divulgation totale (en anglais full disclosure) tandis que les « black hats » prônent la restriction de l'information (afin de pouvoir tirer profit de ces vulnérabilités le plus longtemps possible).
Une distinction apparaît également entre les « white hats », qui vont généralement rendre la vulnérabilité immédiatement publique (souvent avec le code source d'un programme appelé « exploit » afin de résoudre le bogue), et les « grey hats » qui vont généralement donner un délai raisonnable aux entreprises pour régler le problème avant de rendre la vulnérabilité publique, et rarement rendre public le code source permettant d'exploiter la faille de sécurité. Cependant, des individus mal intentionnés peuvent s'approprier des codes informatiques rendus publics par certains « white hats », dans le but de provoquer des pannes de systèmes, des « mass-root », etc. Ces individus sont alors qualifiés de « script-kiddies ».
Quelques white hats célèbres
Risques juridiques
Depuis que la loi sur l'économie numérique (la LCEN) a été votée en France, le fait de divulguer publiquement sur Internet des vulnérabilités accompagnées de code d'exploitation est interdit[1], tout comme le fait de posséder des outils permettant le hacking. Cette nouvelle loi a provoqué un malaise dans le milieu « white hats ».
Notes et références
- Le fait, sans motif légitime, d'importer, de détenir, d'offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée.