White Hat, Black Hat ve Gri Şapka Farkları

Sektörün en yanlış anlaşılan üç terimi bunlar. Aynı araçları kullanan, aynı teknikleri bilen insanlar birbirinden ayrılıyor; aradaki çizgi ise teknik yetenek değil, izin.

Bir kurumun güvenlik bütçesini harcarken verdiği en pahalı karar da bu çizginin neresinde durulduğunu bilmemek. Yetkisiz bir test, iyi niyetle yapılsa bile veri ihlali ve ceza riski doğurur; sözleşmeyle çerçevelenmiş bir test ise denetimde kanıt olarak kullanılabilir.

Üç şapkanın ortak noktası

Üçü de sistemlerin sınırlarını zorlar: hangi uygulamanın eski sürümle çalıştığını, hangi hesabın gereğinden fazla yetkisi olduğunu, hangi yapılandırmanın dışarıdan erişime açık kaldığını bulur. Ayrım yöntemde değil, şu üç sorunun yanıtında:

İzin var mı? Hedef sistemin sahibinden yazılı ve kapsamı tanımlı bir onay alındı mı?
Bildirim var mı? Sistem sahibi, çalışmanın zamanını ve sınırlarını biliyor mu?
Sorumluluk var mı? Bulunan veri nasıl korunacak, ne zaman silinecek, kime raporlanacak?

White hat: yetki belgesiyle çalışan test

White hat, işi sözleşmeyle tanımlanmış uzmandır. Çalışma öncesinde kapsam, zaman aralığı, dokunulmayacak sistemler ve acil durum iletişimi yazıya geçer. Test sırasında bulunan kişisel veri kopyalanmaz, ekran görüntüsünde maskelenir; iş bitiminde silinir.

Bu tanım, iyi niyetli olmaktan daha katı bir şeyi anlatıyor. White hat çalışmasının değeri, neyi bulduğundan çok, bulguyu nasıl belgelediğinde: hangi adım hangi kanıtı üretti, hangi düzeltme önerildi, düzeltme gerçekten işe yaradı mı.

Kurumsal tarafta bu rolü genellikle sızma testi ekipleri üstlenir. Kapsam ve çıktı beklentisi için açık değerlendirmesi ile sızma testi arasındaki fark iyi bir başlangıç noktası.

Black hat: izinsiz erişimin bedeli

Black hat, izin olmadan aynı sınırları zorlar. Teknik adımlar benzer görünse de sonuç farklıdır: veri çalınır, satılır veya rehin alınır; sistem çalışmaz hâle getirilir; üçüncü kişilere zarar verilir.

Türkiye'de bu davranışın hukuki karşılığı açık: Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine hukuka aykırı erişimi, 244. maddesi sistemi engelleme, bozma ve verileri yok etmeyi, 245. maddesi banka veya kredi kartlarının kötüye kullanımını düzenler. Kişisel veri söz konusu olduğunda KVKK kapsamındaki idari yaptırımlar da devreye girer. Merak ettim demek ya da açığı göstermek istedim demek, izin olmadığı sürece sorumluluğu kaldırmaz.

Gri şapka: niyet iyi, yöntem riskli

Gri şapka, açığı sahibine haber vermeden bulan ve sonra bunu para ya da itibar karşılığında sunan kişidir. Anlatı çoğu zaman şöyle kurulur: sisteminizde ciddi bir açık var, ücret karşılığında detayları paylaşırım.

Bu yaklaşımın iki sorunu var. Birincisi hukuki: izinsiz erişim, sonradan bildirim yapılmış olsa da suç olmaya devam eder. İkincisi güvenlik: açığı bildiren kişi, bulguyu nasıl elde ettiğini ve hangi veriye dokunduğunu kanıtlayamaz; kurum, gerçekten kapatıldığını doğrulayamadığı bir açıkla baş başa kalır.

Bazı kurumların hata ödülü programları bu gri alanı meşru bir kanala taşır: kapsam ve kurallar önceden yayımlanır, katılımcı bu sınırlar içinde kalırsa çalışma izinli sayılır. Program yoksa izin de yoktur.

Farkları belirleyen tek ölçüt: yazılı yetki

Ölçüt	White hat	Black hat	Gri şapka
İzin	Yazılı, kapsamı tanımlı	Yok	Yok veya sonradan
Amaç	Savunmayı güçlendirmek	Çıkar sağlamak	Ücret ya da itibar
Bulgu sahibi	Müşteri	Saldırgan	Aracı
Veri işleme	Sınırlı, kayıtlı, silinir	Çalınır ve kullanılır	Belirsiz
Sonuç	Rapor ve düzeltme	İhlal ve zarar	Hukuki risk

Tablodaki en kritik satır ilk satır. Diğer her şey ondan türüyor.

Meşru bir test uzmanı nasıl doğrulanır

Bir uzmanla çalışmaya karar verdiyseniz, doğrulama teknik mülakattan önce belge kontrolüyle başlar.

Kimlik ve şirket bilgisi: tüzel kişilik, vergi numarası, fatura adresi ve sözleşmeyi imzalayacak yetkili.
Sertifikalar: OSCP, CEH, CREST veya CISSP gibi sertifikalar tek başına yeterlilik kanıtı değil ama asgari bir çerçeve sunar; sertifika numarası verene ait kurumun kaydından doğrulanabilir.
Referans ve örnek rapor: isimleri gizlenmiş bir rapor, ekibin nasıl belge ürettiğini gösterir.
Sigorta: mesleki sorumluluk sigortası, test sırasında oluşabilecek kesintiyi tartışılabilir hâle getirir.
Yazılı kurallar: test öncesi imzalanan kapsam belgesi, hangi sistemlere dokunulacağını ve acil durumda kimin aranacağını yazar.

Sertifika doğrulama adımlarını hacker kimlik bilgileri nasıl doğrulanır yazısında ayrıntılı bulabilirsiniz.

Dolandırıcılık işaretleri

Sisteme girdim diye gelen soğuk e-posta: genellikle herkese gönderilen bir şablon; ekran görüntüsü ya da teknik ayrıntı verilmez.
Ödeme öncesi kanıt vaadi: ücreti gönderin, açığı göstereyim cümlesi, gerçek bir bulguyla değil baskıyla çalışıldığının işaretidir.
Kapsamı yazılı vermeyen teklif: sözleşme, kapsam belgesi veya fatura olmadan çalışmayı kabul eden taraf, sizi de riske atar.
Kayıt dışı iletişim: yalnızca anlık mesajlaşma üzerinden görüşen, şirket bilgisi paylaşmayan muhataplar.
Garantili sonuç iddiası: tüm açıkları buluruz veya asla ihlal edilmezsiniz gibi cümleler teknik olarak savunulamaz.

Yasal riskler: izin, veri ve sözleşme

İzin zinciri ve üçüncü taraflar

İzin konusu yalnızca test ekibini değil, testi ısmarlayan kurumu da ilgilendiriyor. Üçüncü taraf bir sistemde (bulut sağlayıcı, ödeme kuruluşu, iş ortağı) test yapılacaksa o tarafın da yazılı onayı gerekir; yalnızca kendi uygulamanız için aldığınız yetki, altyapı sağlayıcının şartlarını ihlal edebilir.

Veri işleme ve silme

Kişisel veriye erişilen testlerde veri işleyen sıfatıyla hareket edilir; bu da KVKK kapsamında ayrı bir sözleşme, saklama süresi ve silme taahhüdü gerektirir. Hukuki çerçevenin tamamı için etik hacker istihdamının yasal koşulları ve hacker tutmanın yasal olup olmadığı yazılarına bakabilirsiniz.

Sözleşmede bulunması gereken maddeler

Hangi tarafla çalıştığınız fark etmeksizin, yetki belgesinin şu başlıkları içermesi beklenir:

Taraflar ve yetki zinciri: testi yapacak ekip, testi ısmarlayan kurum ve varsa altyapı sağlayıcısı.
Kapsam: alan adları, IP aralıkları, uygulamalar, hesaplar; kapsam dışı bırakılan her şey açıkça yazılmalı.
Zaman penceresi: testin başlayıp biteceği saatler ve acil durdurma yetkisi olan kişi.
Kabul edilmeyen yöntemler: hizmet dışı bırakma, gerçek kullanıcı verisiyle çalışma, üçüncü taraflara yönelme.
Veri işleme: toplanan kanıtın saklanma süresi, saklama yeri, silme yöntemi ve raporlama kanalı.
Sorumluluk ve sigorta: kesinti veya veri kaybı hâlinde izlenecek süreç ve poliçe bilgisi.
Gizlilik: bulguların üçüncü kişilerle paylaşılmayacağına dair karşılıklı taahhüt.

Bu maddeler uzun görünse de çoğu tek paragraflık cümleler. Eksik olduklarında ortaya çıkan tartışma ise aylar sürüyor.

Sık sorulan sorular

Bir açığı ücretsiz bildiren kişiye güvenebilir miyim? Bildirimi ciddiye alın, ancak iddiayı doğrulamadan ona sistem erişimi vermeyin. Kanıtı kendi ekibinizle veya yetkili bir test firmasıyla doğrulayın; iletişimi yazılı tutun.

White hat ile sızma testi uzmanı aynı şey mi? Pratikte büyük ölçüde örtüşür. White hat, çalışma biçimini anlatan genel bir tanım; sızma testi uzmanı ise bu işi sözleşmeyle yapan mesleki rol.

Gri şapka bir firmayla çalışmak neden riskli? Çünkü çalışmanın sınırları ve veri işleme kuralları belirsiz kalır. Bir ihlal iddiası ortaya çıktığında, izinsiz erişimin kim tarafından yapıldığını kanıtlamak zorlaşır.

Hata ödülü programı açmak bize ne kazandırır? Araştırmacılar için meşru bir kanal oluşturur ve gelen bildirimleri kapsam içinde toplar. Program yazılı kurallarla yürütülmezse aynı riskler geri döner.

Çalışanımız izinsiz test yaparsa sorumluluk kimde? Eylem kişinin, sorumluluk ise kurumun olur. Bu yüzden yetki belgesi, kapsam ve onay süreci yalnızca dış tedarikçiler için değil, iç ekipler için de yazılı olmalı.

Sonuç

Üç şapka arasındaki farkı teknik yetenek belirlemiyor; izin, kayıt ve sorumluluk belirliyor. Bir güvenlik çalışmasının meşru olup olmadığını anlamak için tek bir belgeye bakmak yeterli: imzalı kapsam ve yetki belgesi. O belge yoksa, geri kalan her şey tartışmalı.

Ekibinizin yetki sınırlarını birlikte netleştirmek isterseniz ekiple görüşün.

White hat, black hat ve gri şapka: temel farklar