White Hat

Pour les articles homonymes, voir White.

Les hackers (en français bidouilleurs informatiques) spécialistes en sécurité se divisent communément en deux catégories : les black hats (« chapeaux noirs ») et les white hats (« chapeaux blancs »). Pour beaucoup, cette classification est bien trop manichéenne : les gentils sont les chapeaux blancs, tandis que les méchants pirates sont les chapeaux noirs. Or, au-delà de cette vision très étroite, se pose la question de fond de savoir comment classer sans équivoque un individu parmi ces deux catégories.

Un hacker étant un « bidouilleur » informatique, les « black hats » comme les « white hats » peuvent être assimilés à des hackers, en ce sens qu'ils bidouillent les systèmes d'information, allant jusqu'à découvrir des vulnérabilités non rendues publiques et jamais exploitées, que l'on qualifie dans le jargon informatique de « 0 day » ou « zéro-jours » d'utilisation. Jusqu'à cette étape la différence entre les couleurs de chapeau n'est pas encore faite. Se pose alors question : cette vulnérabilité doit-elle être rendue publique ? Dans l'absolu, les « white hats » prônent la divulgation totale (en anglais full disclosure) tandis que les « black hats » prônent la restriction de l'information (afin de pouvoir prendre avantage de ces vulnérabilité le plus longtemps possible).

Ici, une distinction apparaît entre les « grey hats », qui vont généralement rendre la vulnérabilité immédiatement publique (souvent avec le code source d'un programme appelé « exploit » qui montre comment prendre avantage du bogue), et les « white hats » qui vont généralement donner un délai raisonnable aux compagnies pour régler le problème avant de rendre la vulnérabilité publique, et rarement rendre public le code source permettant d'exploiter la faille de sécurité, à moins qu'une

Pourquoi le choix de la divulgation totale ?

Pour les « white hats », la divulgation totale est la solution au problème. Différentes listes de diffusion originellement conçues pour diffuser des failles, des vulnérabilités, des bugs non encore connus, ont ainsi vu le jour, tel que bugtraq ou full-disclosure. Dans ces lieux, différents individus diffusent de nouveaux bugs ou des bugs non rendus publics, parfois même des codes d'exploitation (appelés « exploits »). Malheureusement, des individus mal intentionnés s'approprient des codes informatiques rendus publics par certains « white hats », dans le but de provoquer des pannes de systèmes, des « mass-root », etc. Ces individus sont qualifiés de « script-kiddies » (pirates ados ou piratins).

Par définition, les « white hats » avertissent également les auteurs lors de la découverte de vulnérabilités par exemple dans un outil ou sur un serveur sensible. Fondamentalement, ils disent agir pour la bonne cause et dans le respect des lois. Néanmoins, depuis que la loi sur l'économie numérique (la LCEN) a été votée en France, le fait de divulguer publiquement sur Internet des vulnérabilités accompagnées de code d'exploitation est interdit ^{[réf. nécessaire]} . Ainsi que le fait de posséder des outils permettant le hacking. Cette nouvelle loi a provoqué un malaise dans le milieu « white hats ».

FIXME: l'auteur semble confondre les concepts de White Hat hacker et Gray Hat Hacker, à moins que la définition en France soit différente de celle aux États-Unis. Si on regarde le tout comme un Jedi et un Sith, tout devient beaucoup plus clair. À noter que plusieurs Grey Hat se déclarent White Hat et que très peu se déclarent officiellement Black Hat, sauf sous un nom d'emprunt ou en présence d'autres Black Hat qu'ils connaissent déjà très bien.

Voir aussi

• Pour les articles homonymes, voir Hacker.
• Hacker (université)
• Manifeste du hacker
• Hacker (sécurité informatique)
• Hacktivisme
• Black hat
• Grey hat
• Pirate informatique
• Sécurité des systèmes d'information

• Portail de la sécurité informatique