Theory
દરેક hacker ગુનેગાર નથી હોતો
'Hacker' શબ્દ સાંભળતાં જ 'ગુનેગાર' જેવો લાગે છે, પણ વાત એટલી સીધી નથી. Hackers ને એમના ઇરાદા પ્રમાણે અને એમની પાસે પરવાનગી છે કે નહીં એ પ્રમાણે વર્ગીકૃત કરાય છે. કેટલાક નુકસાન કરવા systems માં ઘૂસે છે; બીજા કેટલાક પરવાનગી લઈને મદદ કરવા ઘૂસે છે, એટલે કે નબળાઈઓ શોધી કાઢે છે જેથી એ સુધારી શકાય.
વિષયનો આ છેલ્લો પાઠ મુખ્ય પ્રકારો અલગ પાડે છે: white hat, black hat, અને એ બંનેની વચ્ચે બેસતો grey hat. આ ભેદ મહત્ત્વનો છે: એક ગુનેગાર છે, બીજો કીમતી સલામતી વ્યાવસાયિક છે. વિષય એક અગત્યની વાત પર પૂરો થાય છે, કે systems નો બચાવ કરવા માટે કુશળ, નૈતિક hackers પણ જોઈએ છે.
At a glance
| પ્રકાર | પરવાનગી? | ઇરાદો |
|---|---|---|
| White hat (નૈતિક) | હા, અધિકૃત | મદદ: નબળાઈઓ શોધીને સુધારવી, સલામતી સુધારવી |
| Black hat | ના, અનધિકૃત | નુકસાન: દુર્ભાવના કે અંગત લાભ (ચોરી, બગાડ) |
| Grey hat | ઘણી વાર પરવાનગી વગર | વચ્ચેનું: સ્પષ્ટ દુર્ભાવના નહીં, પણ અનધિકૃત |
Theory
White hat અને black hat
White hat hacker (એટલે કે ethical hacker) પરવાનગી લઈને systems માં ઘૂસે છે, અને એ પણ ખાસ એટલા માટે કે ગુનેગારો પહેલાં vulnerabilities શોધી કાઢે જેથી એ સુધારી શકાય. Penetration testers અને security researchers white hats છે; એમનું કામ કાયદેસર અને લાભદાયી છે, કારણ કે એ હુમલાખોરની જેમ વિચારે છે પણ મદદ કરવા માટે કામ કરે છે, અને એ રીતે સલામતી મજબૂત બનાવે છે.
Black hat hacker પરવાનગી વગર દુર્ભાવનાથી કે અંગત લાભ માટે ઘૂસે છે, data કે પૈસા ચોરે છે, નુકસાન કરે છે. બાકીનો આખો વિષય જેની સામે ચેતવે છે તે આ જ ગુનેગાર છે; આ ગેરકાયદેસર અને હાનિકારક છે.
આ બંને જે બે વાતોમાં જુદા પડે છે તે જ મહત્ત્વની છે: અધિકૃતતા (પરવાનગી છે કે નહીં) અને ઇરાદો (મદદ કરવી કે નુકસાન). Grey hat એ બંનેની વચ્ચે બેસે છે: એ પરવાનગી વગર કોઈ system માં પ્રવેશી શકે છે, પણ સ્પષ્ટ દુર્ભાવના વગર, જેમ કે વગર બોલાવ્યે કોઈ ખામી શોધીને એની જાણ કરવી, અને એ નૈતિક તથા કાયદેસર બંને દૃષ્ટિએ સંદિગ્ધ છે.
Quiz
એક કંપની કોઈ સલામતી વ્યાવસાયિકને પરવાનગી આપીને એની જ systems માં ઘૂસવાનો પ્રયત્ન કરવા રાખે છે, જેથી નબળાઈઓ શોધીને જાણ કરે અને એ સુધારી શકાય. આ કયા પ્રકારનો hacker છે?
- Black hat, કારણ કે એ ઘૂસે તો છે જ
- White hat (ethical hacker), કારણ કે એ પરવાનગી લઈને અને સલામતી સુધારવામાં મદદ કરવાના ઇરાદાથી કામ કરે છે
- Grey hat, કારણ કે પગાર લઈને કામ કરતા બધા hackers grey જ હોય છે
- એ hacker જ નથી
Show the answer
White hat (ethical hacker), કારણ કે એ પરવાનગી લઈને અને સલામતી સુધારવામાં મદદ કરવાના ઇરાદાથી કામ કરે છે
પરવાનગી લઈને systems માં ઘૂસવું, અને નબળાઈઓ શોધીને એની જાણ કરવી જેથી એ સુધારી શકાય, એ white hat (નૈતિક) hacking છે, જે કાયદેસર અને કીમતી સલામતી ભૂમિકા છે (penetration testing). વિકલ્પ A ખોટો છે: black hat પરવાનગી વગર અને નુકસાન કરવાના કે નફો કરવાના દુર્ભાવપૂર્ણ ઇરાદાથી કામ કરે છે, જે આ અધિકૃત અને મદદરૂપ કામથી સાવ ઊલટું છે. વિકલ્પ C ખોટો છે: grey hat સામાન્ય રીતે પરવાનગી વગર જ કામ કરે છે (ભલે સ્પષ્ટ દુર્ભાવના વગર); અહીં તો hacker ને સ્પષ્ટપણે અધિકૃત કરાયો છે, એટલે એ white hat થાય. વિકલ્પ D ખોટો છે: એ પૂરેપૂરો hacker જ છે, પણ નૈતિક hacker. નિર્ણય કરનારાં બે પરિબળો છે: અધિકૃતતા (પરવાનગી) અને ઇરાદો (મદદ કે નુકસાન); પરવાનગી સાથે મદદ કરવાનો ઇરાદો એટલે white hat.
Think first
સંસ્થાઓ પોતાની જ systems પર હુમલો કરવા white hat hackers ને પૈસા કેમ આપે છે?
પોતાની જ systems માં ઘૂસવા કોઈને રાખવો વિચિત્ર લાગે છે. તો ethical hacking આટલું કીમતી કેમ છે? વિચારીને પછી tap કરો.
Show the answer
કારણ કે ગુનેગારો જે નબળાઈઓનો લાભ ઉઠાવે એ શોધવાનો શ્રેષ્ઠ રસ્તો એ છે કે કોઈ કુશળ, ભરોસાપાત્ર hacker પરવાનગી લઈને એમને પહેલાં શોધી કાઢે, જેથી ખરો હુમલાખોર એ શોધીને એનો દુરુપયોગ કરે એ પહેલાં સંસ્થા એને સુધારી લે.
બચાવ કરનારાઓ સામે એક કડવું સત્ય છે: હુમલાખોરે ફક્ત એક જ શોષી શકાય એવી નબળાઈ શોધવાની હોય છે, જ્યારે બચાવ કરનારે બધી જ નબળાઈઓ સામે રક્ષણ કરવું પડે છે, અને પોતાના જ આંધળા ખૂણા જાણવા બહુ અઘરા હોય છે. તમે ઉત્તમ પ્રથાઓ પાળતા હો તો પણ તમારી નજર બહાર રહી ગયેલી કોઈ vulnerability હોઈ શકે: કોઈ injection ખામી, કોઈ ખોટી ગોઠવણ, કોઈ નબળો authentication માર્ગ, એટલે કે આ વિષયમાં ભણેલા એ જ પ્રકારના ખાડા.
White hat hacker (ethical hacker) ને એટલા માટે જ રાખવામાં આવે છે કે એ હુમલાખોરની જેમ વિચારે અને વર્તે, systems ને સક્રિય રીતે તપાસીને એ ખાડા શોધી કાઢે, પણ સૌથી અગત્યનું, પરવાનગી લઈને અને મદદ કરવાના ઇરાદાથી. જ્યારે એમને કોઈ નબળાઈ મળે, ત્યારે એ એનો દુરુપયોગ કરવાને બદલે એની જાણ કરે છે, જેથી કોઈ black hat એનો લાભ લે એ પહેલાં સંસ્થા એને patch કરી શકે.
આ અતિશય કીમતી છે: કોઈ ખરી breach માંથી ખબર પડે, જેમાં data ચોરાય અને ભરોસો તૂટે, એના કરતાં નિયંત્રિત, અધિકૃત કસોટી દ્વારા vulnerability શોધીને સુધારી લેવી ઘણી સારી અને ઘણી સસ્તી પડે છે.
Ethical hacking (penetration testing) હુમલાખોરની વિચારસરણીને બચાવનું ઓજાર બનાવી દે છે, એટલે કે જે કૌશલ્યથી નુકસાન થઈ શકે એ જ કૌશલ્યથી સલામતી મજબૂત કરાય છે. વળી એનાથી એ પણ ખાતરી થાય છે કે બચાવ ફક્ત સિદ્ધાંતમાં નહીં પણ વાસ્તવિક હુમલા હેઠળ ખરેખર કામ કરે છે.
એટલે જ ethical hacking એક આદરણીય અને માગ ધરાવતો વ્યવસાય છે, અને એટલે જ વિષયનો અંત અહીં થાય છે: cyber security ફક્ત ટેકનોલૉજી નથી, એ જાગૃતિ અને નૈતિકતા પણ છે, અને systems નો બચાવ કરવા માટે એવા કુશળ લોકો જોઈએ જે હુમલાખોરોની જેમ વિચારીને એમનાથી આગળ રહી શકે. તમારા દુશ્મનો પહેલાં તમારી નબળાઈઓ શોધવાનો રસ્તો એ જ છે કે તમે પહેલાં કોઈ white hat ને તમારા પર હુમલો કરવા રાખો. ખાડો ગુનેગાર શોધે એના કરતાં મિત્ર hacker શોધે એ સારું.
Theory
BCA601-01 પૂરું
તમે વિષયના બંને અડધા ભાગ આવરી લીધા: e-commerce વાળી બાજુ (ખ્યાલો, I-Way, transactions, payments, SSL) અને સલામતી વાળી બાજુ (cyber crimes, cyber security, હુમલા, vulnerabilities અને એમની પાછળના hackers). આ બંને સાથે જ ચાલે છે, કારણ કે online વ્યવસાય ત્યારે જ ચાલે જ્યારે એ સલામત પણ હોય. સાથે લઈ જવા જેવી મુખ્ય વાત: સલામતી ફક્ત ટેકનોલૉજી નથી, એ જાગૃતિ અને નૈતિકતા પણ છે, અને systems નો બચાવ કરવા કુશળ તથા નૈતિક લોકો જોઈએ. Online બનાવો, પણ સલામત રીતે બનાવો.
Summary
Key takeaways
- Hackers ને એમના ઇરાદા અને અધિકૃતતા પ્રમાણે વર્ગીકૃત કરાય છે, અને બધા ગુનેગાર હોતા નથી.
- White hat (ethical hacker) પરવાનગી લઈને ઘૂસે છે જેથી નબળાઈઓ શોધીને સુધારી શકાય અને સલામતી સુધરે; આ કાયદેસર અને લાભદાયી છે (penetration testers).
- Black hat પરવાનગી વગર દુર્ભાવના કે અંગત લાભ માટે ઘૂસે છે; આ ગેરકાયદેસર અને હાનિકારક છે.
- Grey hat વચ્ચે બેસે છે: ઘણી વાર પરવાનગી વગર, પણ સ્પષ્ટ દુર્ભાવના વગર, એટલે નૈતિક તથા કાયદેસર દૃષ્ટિએ સંદિગ્ધ.
- નિર્ણય કરનારાં બે પરિબળો છે: અધિકૃતતા (પરવાનગી છે કે નહીં) અને ઇરાદો (મદદ કે નુકસાન).
- સંસ્થાઓ white hats ને એટલા માટે રાખે છે કે ગુનેગારો પહેલાં vulnerabilities મળી જાય, જેથી ખરી breach પહેલાં એ સુધારી શકાય.
- યાદ રાખવાની કડી: white hat પરવાનગી લઈને મદદ કરે છે, black hat પરવાનગી વગર નુકસાન કરે છે; ethical hacking ગુનેગારો પહેલાં ખાડા શોધી કાઢે છે.