Gli ethical hacker (in italiano “hacker etici”) sono esperti di sicurezza informatica appositamente assunti per irrompere in un sistema informatico. L’accezione “etico” deriva dal fatto che a commissionare l’hackeraggio è colui che lo subisce, proprio per questo si pala di anti hacking.

Gli obiettivi dell’anti hacking etico consistono nel rivelare i punti deboli dei sistemi e delle infrastrutture digitali, come ad esempio i bug di un software, e valutare i rischi che questi comportano, contribuendo alla risoluzione di queste carenze e al rafforzamento dell’intero concetto di sicurezza messo in pratica. Uno stress test della sicurezza di un sistema può avvenire in un qualsiasi momento, anche dopo essere stati vittima di un attacco illegale. Idealmente però un ethical hacker serve ad anticipare i cyber criminali, evitando che questi possano provocare ingenti danni.

Dunque l’hacking etico si focalizza principalmente su falle e carenze presenti nell’ideazione e programmazione dei software. Per sottolineare la rettitudine di questa forma di hacking e distinguerla dall’hacking “normale”, l’ethical hacking viene appellato anche come white hat hacking, espressione anglofona che enfatizza la probità del soggetto, e gli hacker white hat. I punti centrali delle verifiche della sicurezza sono tra gli altri le applicazioni web e la website security. Oltre ai software possono essere testati anche gli hardware.

Per i propri hack, i white hat adoperano sia software sviluppati da loro stessi che tool di terzi (ad esempio Burp Suite). I primi servono a escludere falle di sicurezza e le manipolazioni al codice dei programmi utilizzati. Non di rado scaturiscono dall’ethical hacking dei codici maligni funzionanti (sequenze di comando o interi programmi di piccole dimensioni), che prendono il nome di Exploit. Questo speciale codice sfrutta gli errori individuati o le falle presenti in un dato sistema al fine di innescare un determinato comportamento nel software, nell’hardware o nei dispositivi elettronici interessati.

Gli ethical hacker si caratterizzano per il loro particolare modo di procedere: l’esperto commissionato è tenuto a garantire la massima trasparenza e integrità, specialmente quando a essere messi in sicurezza sono settori sensibili, come segreti aziendali o i dati confidenziali dei clienti di un’azienda. Il committente deve essere messo al corrente di tutte le informazioni rilevanti di cui l’hacker entra in possesso durante l’hackeraggio. L’utilizzo illecito o la trasmissione di segreti aziendali e di altri dati sensibili non è in alcun modo contemplato nell’ambito dell’ethical hacking.

Del concetto di trasparenza fa parte anche l’obbligo di documentare minuziosamente il procedimento esatto, i risultati e ulteriori informazioni rilevanti relativi all’hackeraggio effettuato. I rapporti stilati possono contenere anche consigli concreti sulla gestione, come ad esempio la rimozione di malware o l’implementazione di un honeypot. Gli ethical hacker prestano inoltre massima attenzione a non tralasciare alcuna debolezza del sistema che possa essere poi utilizzata dai criminali informatici.

Il committente di un ethical hack ha la possibilità di assicurarsi legalmente. Un accordo scritto, così come la pianificazione vincolante di come l’hackeraggio verrà svolto, sono due punti fondamentali e immancabili di qualsiasi penetration test. Per ora, lo Stato italiano non ha ancora fornito alcuna chiara direttiva in meritoal settore degli hacker etici.