Sombrero blanco (seguridad informática)

Un hacker ético (o hacker de sombrero blanco ) es un hacker de seguridad ético . [ 1 ^{] [ 2 ] Con el} consentimiento del propietario, los hackers de sombrero blanco hackean deliberadamente software o sistemas con el objetivo de identificar cualquier vulnerabilidad o problema de seguridad que tengan, ayudando a reforzarlos frente a los hackers de sombrero negro . ^{[ 3 ]}

El sombrero blanco se contrapone al sombrero negro , un hacker malicioso; esta dicotomía definicional proviene de las películas del Oeste , donde los vaqueros heroicos y antagonistas tradicionalmente usaban un sombrero blanco y uno negro , respectivamente. ^{[ 4 ]} Existe un tercer tipo de hacker conocido como sombrero gris , que hackea con buenas intenciones, pero a veces sin permiso o consentimiento adecuado. ^{[ 5 ]}

Los hackers éticos también pueden trabajar en equipos llamados "zapatillas", clubes de hackers, ^{[ 6 ]} equipos rojos o equipos tigre . ^{[ 7 ]}

El contraste moderno entre sombrero blanco y sombrero negro proviene de la convención en las películas del Oeste, donde los personajes heroicos se asociaban con sombreros blancos y los villanos con sombreros negros. A mediados de la década de 1960, el término «sombrero blanco » se usaba de forma más general en el inglés estadounidense para referirse a una persona percibida como uno de los «buenos» o como alguien que está del lado de la justicia. ^{[ 4 ]}

El significado informático se desarrolló a partir de este contraste moral más amplio. El Diccionario Oxford de la Lengua Inglesa registra el término "white hat" en la jerga informática desde 1990, definiéndolo como una persona que se dedica al hackeo informático con fines benignos o altruistas, especialmente para probar sistemas de seguridad y prevenir actos ilegales. La expresión relacionada " white-hat hacker" se utilizaba a finales de la década de 1990, y a principios de la década de 2000 se empleaba para referirse a los evaluadores de seguridad contratados para sondear redes y sistemas en busca de vulnerabilidades. ^{[ 8 ]}

Las entrevistas realizadas a empleados en el Reino Unido en 2011 sugieren que los hackers éticos que trabajan para empresas poseen habilidades relacionadas con la ingeniería social , la tecnología móvil y las redes sociales .

En el ámbito laboral profesional, el trabajo de los hackers éticos se superpone sustancialmente con las pruebas de penetración y las pruebas de seguridad éticas, y el hacker ético desempeña principalmente el rol de probador de penetración, simulando los ataques utilizados por hackers maliciosos para comprender cómo se pueden defender los sistemas. ^{[ 9 ]}

Los roles de "sombrero blanco" pueden ser desempeñados por personal interno o por especialistas externos contratados para evaluar la seguridad de una organización. ^{[ 9 ]} En este contexto, la diferencia con el hackeo malicioso no radica principalmente en el método técnico, sino en la autorización, el alcance y la disciplina profesional: los "sombreros blancos" utilizan técnicas similares a las de los atacantes dentro de los límites legales y éticos acordados. ^{[ 9 ]} La industria de las pruebas de penetración o de seguridad ética se ha organizado en torno a organizaciones profesionales, cualificaciones reconocidas y rutas de desarrollo estructuradas, haciendo hincapié en que los profesionales no deben exceder los límites acordados con el cliente. ^{[ 9 ]}

Entre las certificaciones más destacadas se encuentra la de la Agencia de Seguridad Nacional de los Estados Unidos, que ofrece certificaciones como la CNSS 4011. Dicha certificación abarca técnicas de hacking ético y ordenado, así como la gestión de equipos. ^{[ 6 ]} Cuando la agencia reclutó personal en DEF CON en 2020, prometió a los solicitantes que «Si tienen algunas, digamos, indiscreciones en su pasado, no se alarmen. No deben asumir automáticamente que no serán contratados». ^{[ 10 ]}

Existe una amplia variedad de herramientas de evaluación de seguridad disponibles para ayudar con las pruebas de penetración, incluyendo software gratuito y software comercial .

• Jennifer Arcuri , una empresaria tecnológica estadounidense que fundó la consultora de ciberseguridad ética Hacker House en 2016. ^{[ 18 ]}

• Jim Browning , alias de un hacker ético, cazador de estafas y periodista de Irlanda del Norte conocido por sus investigaciones sobre estafas en línea, incluyendo trabajos presentados en programas de la BBC como Panorama y Scam Interceptors . ^{[ 19 ]}

• Troy Hunt , un investigador de seguridad australiano y creador de Have I Been Pwned , un servicio que permite a los usuarios comprobar si su información personal ha aparecido en filtraciones de datos conocidas. ^{[ 20 ]}

• Dan Kaminsky , un investigador de seguridad estadounidense conocido por descubrir una vulnerabilidad crítica de DNS en 2008 y por sus contribuciones a la seguridad de Internet. ^{[ 21 ]}

• Charlie Miller , un hacker ético estadounidense e investigador de seguridad conocido por descubrir vulnerabilidades en productos de Apple y por demostrar un ataque remoto contra un Jeep Cherokee 2014 , junto con Chris Valasek , que permitió el control de funciones del vehículo, incluyendo la aceleración, el frenado y la dirección. ^{[ 22 ]}

• Kevin Mitnick , un consultor de seguridad estadounidense y ex hacker que se hizo conocido por su trabajo en ingeniería social antes de trabajar posteriormente en ciberseguridad y fundar Mitnick Security Consulting. ^{[ 23 ]}

• Katie Moussouris , una emprendedora e investigadora estadounidense de ciberseguridad conocida por su trabajo en divulgación de vulnerabilidades y programas de recompensas por errores, incluyendo su ayuda para establecer las primeras iniciativas de recompensas por errores de Microsoft. ^{[ 24 ]}

• Joanna Rutkowska , una investigadora de seguridad polaca conocida por su investigación sobre seguridad de sistemas operativos, seguridad de virtualización y el concepto de rootkit basado en virtualización "Blue Pill". ^{[ 25 ]}

• Peiter Zatko (también conocido como Mudge), un investigador de seguridad estadounidense y ex miembro de L0pht Heavy Industries que posteriormente ocupó altos cargos de seguridad en la industria tecnológica y trabajó en políticas de ciberseguridad. ^{[ 26 ]}

• programa de recompensas por detección de errores
• riesgo informático
• Cerrajero
• El malware debe morir