Ethisch hacken voor beginners: Wat moet je kunnen?
Alleen al het woord hacken spreekt bij veel mensen tot de verbeelding. De gedachte dat geen computer veilig is voor jouw magische vingers klinkt erg stoer. Dat trekt dan ook een hoop kwaadwillenden aan. Maar gebruik je deze vaardigheden juist voor het goede? Dan is ethisch hacken jouw forte. Hoe begin je daar eigenlijk aan?
Om maar meteen met de deur in huis te vallen: het is een misvatting dat een hacker een crimineel is. De van origine Amerikaanse term staat in principe voor een computerexpert die in staat is om - meestal met technische middelen - een probleem op te lossen. Dat heeft dus met software en/of hardware te maken en ook beveiliging speelt vaak een rol. Het gaat in eerste instantie om het toegang krijgen tot verborgen data en soms ook om het verwijderen, aanpassen of stelen daarvan. Dat laatste is in de media en de volksmond de gangbare betekenis.
Een ethische hacker moet twee dingen zijn. Allereerst - jawel - ethisch en dus beseffend dat schade toebrengen, data stelen, data verminken of andere ongein uithalen onverantwoord gedrag is. Ethisch betekent je grenzen kennen, goed nadenken over wat je wel of niet doet en verantwoord handelen.
Hoe past dit bij hacken? Als hacker moet je obstakels zien als iets waar je slim mee om kan gaan, proberen technologie te begrijpen en daar creatief mee te spelen. De drie beste eigenschappen om dat mogelijk te maken, zijn dan ook leergierigheid (want je moet veel kennis van systemen verzamelen), optimisme (denken in oplossingen in plaats van problemen) en vasthoudendheid (je probeert veel en dat gaat ook vaak mis). Een beetje hacker deelt graag kennis dus wie eventjes zoekt op internet zal veel kennis online kunnen vinden. Beginnen is dus niet lastig, maar echt goede hacks zetten kost tijd.
6 regels van ethisch hacken
Al in 1984 verscheen het boek “Hackers: Heroes of the Computer Revolution” van Steven Levy, waarin hij mensen, computers en gebeurtenissen beschrijft die de hackercultuur bepalen. Door velen wordt het boek als een belangrijk werk gezien. Levy beschrijft er belangrijke kenmerken van ethisch hacken in:
1. Delen van kennis. Wie wat ontdekt deelt de kennis.
2. Transparantie. Informatie hoort vrij toegankelijk te zijn, hetgeen niet betekent dat iemand daar niet voor betaald mag krijgen, maar wel dat er geen belemmeringen worden opgeworpen.
3. Decentralisatie. Bij een hacker hoort een zeer kritische houding tegenover autoriteit. Centrale systemen geven een partij macht (of het nu een overheid of een bedrijf is). Door decentraal te werken wordt die heerschappij ingeperkt. Hackers behoren dat te promoten.
4. Vrije toegang tot computers. Technologie zou voor iedereen beschikbaar moeten zijn en het is ook belangrijk dat mensen hierin worden gesteund. Met een computer kan mooie software worden gemaakt, die kunst kan zijn.
5. Verbeteren van de wereld. Hackers geloven sterk in de mogelijkheid dat technologie de wereld beter kan maken. Daarbij is het uitgangspunt dat door het verspreiden van computers de hackerethiek meekomt, waardoor de wereld beter kan worden.
6. Beoordelen op basis van het hacken en niet op andere zaken, zoals ras, leeftijd of uiterlijk.
Is ethisch hacken strafbaar?
De strafrechtelijke term voor digitaal inbreken is computervredebreuk. Onder computer wordt dan een ‘geautomatiseerd werk’ verstaan: alles dat is ingericht om gegevens op te slaan, te verwerken en over te dragen. Dus bijvoorbeeld computers, laptops, servers, mobiele telefoons, routers en smartwatches worden allemaal als geautomatiseerde werken beschouwd. Die computervredebreuk moet wel opzettelijk en ‘wederrechtelijk’ (dus zonder toestemming) gebeuren om strafbaar te zijn.
Op alleen het inbreken staat al twee jaar cel, maar dat kan snel oplopen naar vier jaar als er bijvoorbeeld informatie wordt gestolen of afgetapt. Het platleggen van systemen met een DDoS (Distributed Denial of Service)-aanval kan zelfs tot vijf jaar cel opleveren als om vitale infrastructuur gaat. Het zijn dus zware misdrijven volgens de wetgever.
Toch hoeft computervredebreuk niet altijd problematisch te zijn. Wanneer je de digitale kraak zet om een misstand aan te tonen die anders niet te bewijzen is, dan is het soms niet strafbaar. Dat vloeit voort uit het Europese recht op vrije meningsuiting en nieuwsgaring. Vaak wordt dat gezien als ethisch hacken. Belangrijk is dat de aanvaller niet verder gaat dan strikt noodzakelijk om het punt te maken, waarbij er geen andere mogelijkheden zijn.
Belangrijk is dat de aanvaller niet verder gaat dan strikt noodzakelijk
-
Dat was het geval toen ik op een gekraakte OV-chipkaart heb gereisd om duidelijk te maken dat de zwakheden helemaal niet zo theoretisch waren. Het Openbaar Ministerie ging dan ook niet tot vervolging over. Toen politicus Henk Krol digitaal inbrak bij een diagnostisch bloedlab om aan te tonen dat de beveiliging slecht was, werd hij wel vervolgd.
Niet vanwege het feit dát hij inbrak, maar vanwege het feit dat hij het zeker tien keer had gedaan. Dat was namelijk niet noodzakelijk in de ogen van de rechter en Krol werd dan ook veroordeeld voor computervredebreuk. Goede bedoelingen of niet: het overtreden van de wet brengt behoorlijk wat risico’s met zich.
Responsible disclosure
In veel gevallen heeft een aanvaller geen kwade bedoelingen en is de hack vooral bedoeld om gaten in de beveiliging aan te tonen. Als bedrijven of overheden dan toch aangifte zouden doen, zouden ethische hackers niet snel de door hen gevonden lekken melden.
Die koudwatervrees kan worden weggenomen met een ‘responsible disclosure-beleid’, waarin de melder wordt beloofd niet met aangiftes of schadeclaims lastiggevallen te worden, als deze zich tenminste aan bepaalde spelregels heeft gehouden. Daarbij kun je denken aan het niet zomaar data ophalen, geen schade maken of zomaar informatie naar buiten brengen zonder dat het lek is gedicht. Zo’n melding staat vaak op de website van een organisatie.
Toch is zo’n ‘afspraak’ tussen organisatie en hacker maar een beperkte zekerheid. Het Openbaar Ministerie mag altijd zelf het initiatief nemen tot een strafzaak en heeft aangegeven dat ook te doen. Er bestaat dus geen vrijbrief om te gaan hacken. De scheidslijn tussen ethisch hacken en crimineel hacken is flinterdun en wordt – soms met terugwerkende kracht - bepaald door het OM, niet door de hacker.
Penetratietest
Er zijn verschillende vormen om te beginnen met ethisch hacken. Wanneer mensen zeggen dat “een hacker naar het systeem heeft gekeken” dan bedoelen ze vaak dat er een penetratietest is uitgevoerd. Er is dan gekeken of het mogelijk is om in te breken. Meestal is zo’n onderzoek prima uit te voeren met standaard software, waarbij de kwaliteit van het onderzoek afhankelijk is van de beheersing en het begrip van de software waarmee de aanval wordt uitgevoerd.
Sommige onderzoekers schrijven eigen aanvallen. Dat is meer werk, maar je bereikt ook meer. In die fase wordt er ook vaak gekeken naar de versies van gebruikte software en bekende zwakheden in de programmatuur. Een andere vorm van ethisch hacken betreft het dieper kijken naar de software. In zo’n geval kijkt de onderzoeker of aanvallen gebaseerd op kennis van de broncode mogelijk zijn.
Soms komen nog niet ontdekte zwakheden bij penetratietesten naar boven, maar soms zit het net iets ingewikkelder in elkaar. Ook hiervoor zijn hulpmiddelen beschikbaar, maar soms is het echt lezen en studeren op de broncode.
VPN
Als ethisch hacker wil je wel veilig op internet bivakkeren. Daarom is het nuttig om een vpn-service te nemen. Hierdoor beveilig je niet alleen onbeveiligde draadloze verbindingen, maar help je ook voorkomen dat een eventuele tap op je internetverbinding informatie weggeeft. Sommige vpn-providers bieden daarbij ook anonimiteit door bijvoorbeeld geen logbestanden bij te houden. Handig om juridisch gezeur voor te zijn.
VPN.ac, CyberGhost, Private VPN, IPredator, Private Internet Access, ExpressVPN, NordVPN, TorGuard, HideMe, SlickVPN, Mullvad, IPvanish en Cryptostorm zijn VPN-providers die zelf zeggen geen logbestanden bij te houden. In hoeverre ze de waarheid vertellen is natuurlijk lastig te zeggen.
