Etisk hacking
Å bryte seg inn i datasystemer med eierens tillatelse, for å finne og rapportere sikkerhetshull før kriminelle utnytter dem.
Kalles også: white hat hacking
Etisk hacking er å angripe et datasystem på samme måte som en kriminell ville gjort, men med eierens tillatelse og med ett mål: å finne hullene og få dem tettet. Teknikkene er de samme. Forskjellen ligger i avtalen, i hvem som får rapporten, og i at ingenting blir stjålet eller ødelagt underveis.
I praksis tar det flere former. En pentest er et avgrenset oppdrag mot bestemte systemer. Et bug bounty-program lar hvem som helst lete etter feil mot betaling per funn. Ansvarlig sårbarhetsvarsling, gjerne kalt responsible disclosure, er når noen finner et hull tilfeldig og melder fra til eieren i stedet for å utnytte det.
Grensen mot straffbar hacking går ved tillatelsen. Uten avtale er det å skaffe seg tilgang til andres datasystem innbrudd i datasystem etter straffeloven, uansett hvor gode intensjonene er. Derfor starter hvert oppdrag jeg tar med en skriftlig avtale som sier hva som skal testes, når, og hva jeg får lov til å gjøre hvis jeg kommer inn.
Det er dette jeg lever av, og det er også det jeg viser fra scenen. Når publikum ser hvor lett en phishing-e-post, en glemt testserver eller et gjenbrukt passord slipper meg inn, sitter læringen bedre enn noen sikkerhetsplakat. Den som driver med etisk hacking kalles en etisk hacker, og veien inn i faget går som regel gjennom nysgjerrighet, CTF-konkurranser og mye øving på egne systemer.
Vil dere ha dette forklart live?
Foredragene mine tar begrepene fra denne lista og viser hva de betyr i praksis, med ekte eksempler og demonstrasjoner salen husker.