Ethisch hacken

Ethisch hacken is een activiteit van een computerspecialist die zich, uit idealistische motieven, zonder toestemming toegang verschaft tot beveiligingssystemen en netwerken. Ethische hackers willen zo fouten opsporen, om ze vervolgens te melden aan de betreffende, 'gehackte' bedrijven of instanties, als bijdrage in de strijd tegen cybercriminaliteit. De Engelse term voor ethisch hacken is software/security vulnerability disclosure.

Op het internet bevinden zich veel gegevens van particulieren, bedrijven en instellingen. Voor sommigen zijn persoonsgegevens en data big business. Deze hackers proberen aan informatie te komen door middel van computervredebreuk of hacking, om de verkregen gegevens en data vervolgens door te verkopen. Daarnaast kunnen zij het computersysteem van bedrijven aanvallen, gegevens misbruiken, of infrastructurele voorzieningen platleggen. Om dit te voorkomen zijn er ethische hackers, die een steentje bijdragen in deze cyberoorlog, door lekken op te sporen in beveiligingssystemen. Door opgespoorde lekken te melden, helpen ethische hackers bedrijven of instanties om zich beter te wapenen tegen aanvallen door kwaadwillende hackers.

Pentesten of penetratietesten worden uitgevoerd door ethisch hackers met toestemming van een organisatie. Het doel is om de beveiliging van de IT-infrastructuur van een organisatie methodisch te testen. Zo wordt duidelijkheid gecreëerd over de tekortkomingen en ontvangt de organisatie een hersteladvies.^[1]

Penetratietesten zijn er in drie belangrijke vormen: black box, white box en grey box.^[1]

Black box

Bij een black box-test hebben de penetratietesters weinig voorkennis van het doel object. Dit is een realistisch scenario dat in praktijk veel voorkomt. De penetratietester wordt dan in dezelfde situatie geplaatst als een kwaadwillende hacker. De nadelen van black box-tests zijn dat het afgesproken tijdsbestek mogelijk niet voldoende is om alles te testen en dat sommige delen van het doel object mogelijk niet worden getest, omdat ze niet zijn ontdekt.^[1]

Grey box

Een grey box-test onthult gedeeltelijke informatie over de doelsystemen aan de penetratietesters. Deze hybride benadering is de meest gebruikelijke vorm van penetratietests. Dit omdat de tester een methodische aanval kan simuleren zonder elk detail van de doelsystemen te hoeven kennen.^[1]

White box

Een white box-test onthult gedeeltelijke informatie over de doelsystemen aan de penetratietesters. Deze hybride benadering is de meest gebruikelijke vorm van penetratietests. Dit omdat de tester een methodische aanval kan simuleren zonder elk detail van de doelsystemen te hoeven kennen.^[1]

Internationale bedrijven als Facebook en Google werken samen met ethische hackers, om hacks of lekken te vinden in hun netwerken of systemen. Zo geeft Google tot 150.000 euro voor het vinden van een bepaald lek. In België daarentegen lopen ethisch hackers het risico om opgepakt te worden. Vanwege dit risico durven veel Belgische bedrijven niet met hackers samen te werken. Andersom kan een hacker ervan afzien om een gevonden lek bij een Belgisch bedrijf te melden, omdat het betreffende bedrijf of de bepaalde instantie hem mogelijk een proces aandoet.

Gelukkig zijn er tegenwoordig veel bedrijven die gecertificeerd zijn om pentesten uit te voeren met ethisch hackers. Voorbeeld hiervan in Nederland is het CCV Cyber Pentest certificaat. Dit keurmerk staat garant voor een gestructureerde, controleerbare en betrouwbare werkwijze van het bedrijf wat de pentest uitvoert. ^[2]

Sinds 2023 is ethisch hacken toegelaten onder de volgende voorwaarden:^[3]

• handelen zonder bedrieglijk opzet of oogmerk om te schaden
• de mogelijke kwetsbaarheid zo snel mogelijk melden aan de gehackte organisatie, uiterlijk op het ogenblik van de melding aan het Centrum voor Cybersecurity België (CCB)
• niet verder gaan dan nodig en evenredig om het bestaan van een kwetsbaarheid na te gaan
• afzien van openbaarmaking, tenzij met toestemming van het CCB

Het vragen van een beloning of vergoeding aan de gehackte organisatie valt normaal onder het verboden bedrieglijk opzet, tenzij de organisatie zelf een bug bounty programma of iets dergelijks opzet.^[4] Ook phishing, spamming, brute force of DDoS-aanvallen, het verwijderen van gegevens en het installeren van malware blijven in alle omstandigheden verboden.

In 2020 publiceerde het CCB een gids, die ethisch hacken bij organisaties die daar open voor stonden in goede banen probeerde te leiden (Gids over het beleid voor de gecoördineerde bekendmaking van kwetsbaarheden). Wanneer het hacken gebeurde met medeweten van de rechthebbenden, was er naar alle waarschijnlijkheid geen inbreuk op de wet, omdat er geen moreel bestanddeel (bedrieglijk opzet) aanwezig was.

Ethische hackers moeten hun vaardigheden blijven testen, om niet achter te lopen op technologische ontwikkelingen. Hiervoor worden ethische-hackevenementen georganiseerd. Tijdens zo'n evenement kunnen hackers voor de gelegenheid opgebouwde computersystemen en dergelijke kraken. De ethisch hacker bevindt zich dus in een veilige omgeving, men kan hem geen proces aandoen voor het kraken van deze systemen. Daarnaast kunnen de hackers ook veel bijleren van elkaar.

Een belangrijke organisatie in Duitsland van ethische hackers is de Chaos Computer Club. Deze organiseert jaarlijks in de Leipziger Messe het Chaos Communication Congress, en iedere 4 jaar^[5] in augustus in de omgeving van Berlijn het Chaos Communication Camp, of afgekort Camp. De club geeft een digitaal tijdschrift uit met de naam Datenschleuder.

• Reportage over ethisch hacken