「ハット」の分類は許可の有無と意図を表すものであり、スキルの高低ではない
ホワイト・ブラック・グレーの各「ハット」がスキルの序列を表しているというのはよくある誤解です。実際には、この3つすべてに極めて高いスキルを持つ人物が含まれ得ます。区別されるのは、そのアクセスが許可されたものかどうか、そして根底にある意図が何かという点であり、技術力そのものではありません。スクリプトキディと国家支援型の主体は、技術力に大きな差があっても、技術的にはどちらも「ブラックハット」に分類されうるのです。
すべてのカテゴリーの根底には同じ技術知識がある
このリストのほぼすべてのカテゴリーは、ネットワークプロトコルや一般的なソフトウェアの脆弱性、ソーシャルエンジニアリングといった同じ中核的な技術知識を土台にしています。それらを分けるのは「何ができるか」ではなく「それを行う許可があるか」「なぜそれを行うのか」であり、まさにそれゆえに、多くのホワイトハットの専門家が、正式なキャリアとしてスキルを確立する以前は、はるかに許可の曖昧な形で実験を重ねてきた経緯を持っているのです。
一般の利用者ができる基本対策
攻撃者の分類を知るだけでなく、身近な対策を取ることが重要です。パスワードはサービスごとに別のものを使い、パスワード管理ツールを活用し、二要素認証を有効にします。OSとアプリを更新して、知らない送信元のメールのリンクや添付ファイルを開かないようにします。公共のWi-Fiで重要な手続きをしないことも、基本的な心がけです。
脆弱性を見つけたときの対応
もし偶然、サービスの欠陥を見つけたら、勝手に内部を調べ続けたり、情報を公開したりせず、運営者の連絡窓口や報告制度に連絡するのが無難です。日本では、脆弱性関連情報を受け付ける公的な枠組みもあります。見つけた経緯や確認した範囲を簡潔に伝え、相手の対応を待つ姿勢が望まれます。これは一般的な情報であり、法的助言ではありません。
よくある質問
グレーハットハッキングは合法ですか?
一般的には違法です。たとえグレーハットハッカーの目的が脆弱性を明らかにして助けることであったとしても、許可なくシステムにアクセスすること自体は、意図にかかわらず多くの場合違法とされます。善意があるからといって、ほとんどの法域で無許可アクセスが自動的に法的に保護されるわけではありません。
正規のホワイトハットハッカーになるにはどうすればよいですか?
ほとんどのキャリアパスでは、ペネトレーションテストや倫理的ハッキングに関する正式なトレーニングや資格取得に加えて、明示的かつ文書化された許可を得たシステムに限ってテストを行うことが求められます。多くの場合、企業の公式なバグバウンティプログラムや契約に基づくセキュリティ評価を通じて実践されます。
ハッカーと「クラッカー」は違うのですか?
もともとは、技術に精通した人を広く「ハッカー」と呼び、悪意を持って侵入する人を「クラッカー」と区別する考え方がありました。現在は一般に「ハッカー」が悪い意味で広まっているため、ホワイトハットなどの形容を付けて区別するのが普通です。
自分のサイトに対して試すなら問題ありませんか?
自分が所有するシステムや、権限のある検証用の環境であれば、通常は問題になりません。ただし、レンタルサーバーやクラウドは規約で診断が制限されている場合があるため、事前に利用規約を確認してください。