Ethisch hacken

Een ethisch hacker is een computerspecialist die beveiligingssystemen en netwerken test op een positieve manier. Zijn doel is om door middel van hacken fouten en veiligheidslekken op te sporen in de systemen en netwerken om deze daarna te melden aan de bedrijven of instanties waarmee ze samenwerken. Ze willen helpen in de strijd tegen cybercriminaliteit. Het zijn de ‘good guys’ van het internet. De Engelse term voor ethisch hacken is software/security vulnerability disclosure.

Doel[bewerken | brontekst bewerken]

Veel gegevens en data bevinden zich op het internet. Mensen met slechte bedoelingen maken daar misbruik van. Voor hen zijn onze persoonsgegevens en data big business. Ze proberen aan informatie te komen door middel van hacking. Daarna kunnen ze eventueel gegevens en data doorverkopen. Daarnaast kunnen zij bedrijven aanvallen, onze gegevens misbruiken of mensen van machines loskoppelen. Om dit te voorkomen zijn er ethische hackers. Die dragen een steentje bij in deze cyberwar door lekken op te sporen in beveiligingssystemen. Door te zoeken naar lekken en deze te melden, zorgen de ethische hackers ervoor dat bedrijven of andere instanties zich beter kunnen wapenen tegen de aanvallen. Intigriti is een internationaal cybersecurityplatform dat ethische hackers samenbrengt met bedrijven.

Taboe?[bewerken | brontekst bewerken]

Internationale bedrijven zoals Facebook en Google werken samen met ethische hackers om hacks of lekken te vinden in hun netwerken of systemen. Zo geeft Google bijvoorbeeld tot 150.000 euro voor het vinden van een bepaald lek. In België daarentegen lopen ethisch hackers het risico om opgepakt te worden. Omwille van dit risico zijn er veel Belgische bedrijven die niet met deze mensen durven samenwerken omdat ze bang zijn voor de mogelijke gevolgen ervan. Het kan ook omgekeerd, een hacker kan dus lekken vinden bij Belgische bedrijven maar zal deze niet melden. Dit omdat de kans bestaat dat als de ethisch hacker ze gaat melden, het bedrijf of de bepaalde instantie hem een proces aandoet.

Wetgeving in België[bewerken | brontekst bewerken]

Sinds 2023 is ethisch hacken toegelaten onder de volgende voorwaarden:^[1]

handelen zonder bedrieglijk opzet of oogmerk om te schaden
de mogelijke kwetsbaarheid zo snel mogelijk melden aan de gehackte organisatie, uiterlijk op het ogenblik van de melding aan het Centrum voor Cybersecurity België (CCB)
niet verder gaan dan nodig en evenredig om het bestaan van een kwetsbaarheid na te gaan
afzien van openbaarmaking, tenzij met toestemming van het CCB

Het vragen van een beloning of vergoeding aan de gehackte organisatie valt normaal onder het verboden bedrieglijk opzet, tenzij de organisatie zelf een bug bounty programma of iets dergelijks opzet.^[2] Ook phishing, spamming, brute force of DDoS-aanvallen, het verwijderen van gegevens en het installeren van malware blijven in alle omstandigheden verboden.

In 2020 had het CCB reeds een gids gepubliceerd die ethisch hacken bij organisaties die daar open voor stonden in goede banen probeerde te leiden (Gids over het beleid voor de gecoördineerde bekendmaking van kwetsbaarheden). Wanneer het hacken gebeurde met medeweten van de rechthebbenden, was er naar alle waarschijnlijkheid geen inbreuk op de wet, omdat er geen moreel bestanddeel (bedrieglijk opzet) aanwezig was.

Evenementen[bewerken | brontekst bewerken]

Ethische hackers moeten hun vaardigheden blijven testen, om niet achter te lopen op technologische ontwikkelingen. Hiervoor worden ethische-hackevenementen georganiseerd. Tijdens die evenementen kunnen de hackers computersystemen of dergelijke kraken. Het interessante aan deze evenementen is dat de ethisch hacker zich in een veilige omgeving bevindt, men kan hem namelijk geen proces aandoen voor het kraken van de systemen tijdens een dergelijk evenement. Daarnaast kunnen de hackers onderling ook veel bijleren van elkaar.

Een belangrijke organisatie in Duitsland van ethische hackers is de Chaos Computer Club. Deze organiseert jaarlijks in de Leipziger Messe het Chaos Communication Congress, en iedere 4 jaar^[3] in augustus in de omgeving van Berlijn het Chaos Communication Camp, of afgekort Camp. De club geeft een digitaal tijdschrift uit met de naam Datenschleuder.