hacking

En måte å skille de ulike betydningene av ordet hacker på, er å benytte begrepene cracking og cracker ved kriminelle motiver. Disse begrepene er samskrivinger av criminal hacking og criminal hacker. Cracker og cracking har imidlertid ikke samme vekt på at handlingene skal kreve avansert kunnskap eller nye metoder slik som hacking har. Cracking gjøres ofte med enkle metoder og ferdige verktøy.

I andre sammenhenger omtales hacking og hackere med kriminelle motiver som black hat hacking og black hat hackere.

Skal man benytte begrepet hacker helt riktig, står en hacker kun bak dataangrep der det å bevise at et angrep lar seg utføre er motivasjonen. Det kan være å bevise for seg selv, bevise for andre, eller på oppdrag fra andre.

Ved annen datakriminalitet er dataangrepet derimot kun et middel for å oppnå et mål, som kan være en økonomisk gevinst, utøve skade, oppnå tilgang på informasjon eller lignende. Datakriminalitet har i dag utviklet seg til en profesjonell industri, hvor kriminelle nettverk opererer på tvers av landegrenser. Det er store økonomiske insentiver for bakmennene, og mange hevder at datakriminalitet har passert narkotikahandel i økonomisk omfang. Metodene som benyttes er ofte enkle, og retter seg mot svake eller tilfeldige mål, slik som usikrede systemer eller uerfarne brukere. Sosial manipulasjon står sentralt, sammen med teknikker som nettfiske og løsepengevirus.

I mange tilfeller er handlingen en hacker utfører ønsket og bestilt av andre. Bedrifter leier for eksempel inn hackere for å teste sikkerhet og pålitelighet i egne tjenester, applikasjoner og systemer. Denne aktiviteten omtales som etisk hacking og utføres da av en etisk hacker. Alternativt kalles dette white hat hacking og white hat hacker.

Mye kriminell hacking foregår også som betalte oppdrag. Noen har et motiv, andre har kunnskapen til å gjennomføre handlingene. Dette vil likevel klassifisere som cracking eller black hat hacking.

Det er ikke uvanlig at hackere på eget initiativ tester tjenesters og systemers sikkerhet. Avsløres sårbarheter, meldes disse inn til de som eier eller utvikler systemene. I noen tilfeller med trusler om at dersom ikke feilene rettes, vil sårbarhetene avsløres for andre.

Denne type aktivitet er for mange hackere en måte å tilfredsstille sin nysgjerrighet og sitt behov for å teste kompetanse, samtidig som de selv anser at de gjør både bedrifter og brukere en tjeneste. Denne aktiviteten omtales som gray hat hacking, utført av en gray hat hacker.

Det er omstridt hvordan slik aktivitet bør håndteres av de berørte partene. Selv om hensikten er god, er det fortsatt slik at aktøren har gjort handlinger som kan gi dem tilgang til eller som kan skade systemer og informasjon. Noen belønner rapporteringen med penger eller gaver, mens andre politianmelder.

Lovgivning og straffeforfølgelse av datakriminalitet og hacking er vanskelig. Dette skyldes blant annet:

• Digitale spor kan relativt lett kontrolleres og skjules.
• Straffeforfølgelse involverer ofte lovgivning og myndigheter i mange land, blant annet landet der offeret befinner seg, landet der bakmennene oppholder seg og landet der tjenester er tilknyttet.
• Ofte har handlingene mange ofre, der hvert enkelt offer ikke har lidd nok konsekvenser til at sakene får prioritet.

Stadig mer lovgivning legger ansvaret over på tredjepart som drifter og tilbyr tjenester. Disse aktørene forplikter seg til å gjøre det vanskeligere å utføre hacking og datakriminalitet. Et eksempel på denne vinklingen er personopplysningsloven.

Tradisjonelt har hacking basert seg på å identifisere sårbarheter som kan utnyttes i programvare og IT-systemer. Sårbarhetene kan blant annet identifiseres ved hjelp av testing eller reverse engineering, samt avlytting og modifikasjon av digital kommunikasjon.

Hacking vil i stor grad basere seg på informasjonsinnhenting og analyser før et nøye utarbeidet angrep finner sted. For de angrepene som ikke har publisitet som et mål, vil begrensing av spor og synlig skade være en viktig del av metodene som benyttes.

Angrep utføres ofte i flere steg. For eksempel kan det være vanskelig å angripe en server i et bedriftsnettverk fra utsiden. Første steg kan da være å få tilgang til en av de ansattes datamaskin, som så kan benyttes videre i et internt angrep mot serveren.

Når begrepet hacking nå har mistet litt av sitt krav til unikhet og innovasjon, vil også utnyttelse av kjente sikkerhetshull i et system kunne klassifisere som hacking. Hacking inkluderer i dag også bruk av ferdige verktøy og godt dokumenterte fremgangsmåter som avdekker og utnytter velkjente og ofte forekommende sikkerhetsproblemer. Også metoder tilhørende sosial manipulasjon, slik som nettfiske, vil av mange ansees å være forsøk på hacking.

• datasikkerhet
• hacker
• etisk hacking
• datakriminalitet