Hacker

Controvérsia sobre o nome

Há uma longa controvérsia sobre o verdadeiro significado do termo. Nesta controvérsia, o termo hacker é reivindicado por programadores de computador que argumentam que a palavra se refere simplesmente a alguém com um entendimento avançado de computação e que cracker é o termo mais apropriado para quem invade sistemas ou computadores, seja um cibercriminoso (chapéus pretos) ou um especialista em segurança de computadores (chapéus brancos). Um artigo de 2014 concluiu que "o significado do chapéu preto ainda prevalece entre o público em geral".

Por volta de 1990, com a popularização da internet fora das universidades e dos centros de pesquisa, alguns hackers passaram a usar seus conhecimentos para invadir computadores alheios. Por exemplo, em 1988, o estudante Robert Tappan Morris tirou proveito de uma falha pouco conhecida no protocolo de correio eletrônico Simple Mail Transfer Protocol para criar o primeiro "verme" da internet, um malware que invadiu milhares de computadores de maneira autônoma, os danos deste ataque chegaram a cem mil dólares.

Mesmo quando efetuadas apenas por diversão, estas invasões causavam grandes transtornos aos administradores e usuários dos sistemas. Como os invasores eram hackers, o termo adquiriu uma conotação negativa. Para diversas pessoas, hacker passou a significar "invasor de sistemas alheios". Muitos hackers honestos se ressentiram desta mudança de sentido:

Como parte deste esforço, hackers honestos propuseram o termo "cracker" para os seus colegas maliciosos. Em 2012, o sentido pejorativo de hacker ainda persiste entre o público leigo. Enquanto muitos hackers honestos usam esse nome com orgulho, outros preferem ser chamados de especialistas em segurança de dados, analistas de sistema ou outros títulos similares.

Autorização e consentimento

Antes de um teste de segurança profissional, as regras de engajamento geralmente especificam as atividades autorizadas e seus limites. Uma política pública de divulgação de vulnerabilidades autoriza pesquisas independentes apenas nos sistemas e pelos métodos cobertos por seus termos. A política do Departamento de Justiça dos Estados Unidos permite apenas os testes necessários para confirmar uma vulnerabilidade. Ela proíbe a remoção de dados ou a manutenção do acesso após os testes. Os pesquisadores não podem obter privilégios mais elevados, avançar para sistemas conectados, instalar malware ou interromper serviços. Espera-se que qualquer pessoa incerta sobre se um alvo ou método está coberto busque esclarecimentos antes de prosseguir.

A permissão concedida por uma organização não se estende a sistemas, informações ou serviços controlados por terceiros. O cumprimento de uma política de divulgação também não exonera de violações legais não relacionadas. Nos Estados Unidos, a política de acusação do Departamento de Justiça orienta os procuradores federais a declinar da acusação sob a Lei de Fraude e Abuso de Computadores (Computer Fraud and Abuse Act) quando as evidências demonstrarem a intenção de realizar pesquisas de segurança em boa-fé. A política define isso como testar, investigar ou corrigir uma falha de segurança de modo projetado para evitar danos e usar as descobertas principalmente para melhorar a segurança ou a proteção jurídica e operacional. A política é uma orientação interna para procuradores federais, não criando direito legal exigível por um pesquisador.

Divulgação de vulnerabilidades

Na divulgação coordenada de vulnerabilidades, quem descobre uma falha de segurança a relata e trabalha em conjunto com fornecedores, coordenadores ou outras partes afetadas antes da publicação. Após a descoberta e o relato, o destinatário confirma e prioriza a falha. A correção e a divulgação pública acontecem em seguida, juntamente com o lançamento de uma solução ou outra medida de proteção. O relatório deve identificar o produto ou a configuração afetada e explicar o impacto potencial. Deve também fornecer as etapas para reproduzir a falha e apresentar evidências ou uma demonstração funcional. O destinatário decide então a urgência com que a vulnerabilidade confirmada deve ser tratada.

A remediação elimina a vulnerabilidade. A mitigação reduz seus efeitos sem eliminar a falha subjacente. Uma correção confiável pode exigir tempo para ser desenvolvida e testada, especialmente quando o código vulnerável é reutilizado em vários produtos ou fornecido por outro fabricante. A política de divulgação do Departamento do Trabalho dos Estados Unidos orienta os pesquisadores a interromper os testes após confirmar uma falha ou encontrar dados sensíveis. Solicita também que deem tempo para a remediação antes de publicar detalhes técnicos. Sob o modelo do CERT/CC, as fases posteriores incluem aviso público, publicação da vulnerabilidade e do plano de remediação, e implantação da correção ou mitigação.

Liberdade de informação e propriedade intelectual

Os direitos autorais geralmente protegem a expressão de um programa de computador, mas não protegem suas ideias, procedimentos, métodos de operação ou conceitos matemáticos. Na União Europeia, os detentores dos direitos autorais controlam a reprodução, alteração e distribuição pública de programas de computador, ressalvadas as exceções previstas em lei. As licenças de software livre concedem aos usuários a liberdade de executar, estudar, modificar, copiar e redistribuir programas. Licenças com copyleft exigem que as versões redistribuídas preservem essas liberdades. O software livre também pode utilizar licenças que não possuem essa exigência.

A legislação da União Europeia permite que os usuários observem e testem softwares em algumas circunstâncias. Um usuário legítimo também pode traduzir partes necessárias do código compilado para outra forma quando isso for essencial para fazer um programa criado de forma independente funcionar com outros softwares, desde que a informação não esteja disponível de outra forma. As informações obtidas sob essa exceção não podem ser usadas para fins não relacionados ou compartilhadas, exceto conforme necessário para a interoperabilidade. Também não podem ser usadas para produzir um programa substancialmente semelhante que viole direitos autorais. A diretiva exige reparações legais contra a comercialização de ferramentas destinadas exclusivamente a burlar proteções técnicas em software.

Nos meios de comunicação e no discurso público

A cobertura jornalística utiliza frequentemente o termo hacker para se referir a um intruso não autorizado e associa a palavra a crimes de informática, ameaças à segurança e interrupções de serviço. Em cinco jornais dos Estados Unidos analisados durante o ano anterior e o ano posterior aos atentados de 11 de setembro, as reportagens enquadraram cada vez mais os hackers como possíveis ciberterroristas. A cobertura anterior tratava-os mais frequentemente como criminosos de informática comuns. As motivações recebiam pouca atenção, a menos que o artigo traçasse o perfil de um hacker. As reportagens também confundiam hacktivismo e ciberterrorismo, embora as condutas não envolvessem os mesmos objetivos ou o mesmo nível de dano.

A política nacional também afeta as retratações dos hackers. Uma comparação entre o China Daily e o The New York Times entre 2001 e 2020 revelou que ambos os jornais atribuíam aos Estados um papel de destaque na cobertura sobre hackers. Cada veículo enquadrava as acusações e os governos estrangeiros a partir de sua própria perspectiva nacional e política. As referências positivas tornaram-se mais comuns ao longo do tempo, particularmente na cobertura de hackers éticos e no trabalho de segurança defensiva. No entanto, as associações com atividades hostis permaneceram.

Reportagens visuais mostram frequentemente hackers em salas escuras, com rostos ocultos, roupas com capuz, máscaras ou telas cheias de códigos. O autor James Shires descreve essa iconografia como "cyber-noir": a segurança digital aparece como um mundo oculto e moralmente incerto, no qual ameaças anônimas e especialistas podem usar métodos semelhantes para fins diferentes.

Na cultura popular

Os personagens hackers em filmes, na televisão e em jogos eletrônicos mudaram ao longo do tempo. Na década de 1980, o filme WarGames (1983) e os primeiros jogos sobre hacking retratavam jovens talentosos, mas socialmente isolados, que acessavam sistemas poderosos a partir de seus computadores pessoais e se viam envolvidos em eventos além do cotidiano. Na década de 1990, Hackers (1995) apresentou o hacker como um rebelde subcultural estiloso. Já The Matrix (1999) transformou essa figura em um herói que resiste a um sistema digital opressor.

Filmes posteriores, como Swordfish (2001) e Blackhat (2015), inseriram os hackers em histórias sobre terrorismo, vigilância, cibercrime e conflitos internacionais. Seus hackers podiam ser infratores perigosos, aliados necessários ou ambos. A série de televisão Mr. Robot (2015–2019) retomou o hacker socialmente alienado, mas conferiu ao personagem maior profundidade psicológica. Ela conectou o hacking a transtornos mentais, vigilância, poder corporativo, revolta política e às consequências pessoais da ação técnica. A série utilizou ferramentas reconhecíveis e métodos plausíveis de ataque em vez de apresentar cada invasão como um espetáculo visual fantasioso.

Muitas retratações na tela diferem acentuadamente das práticas reais de hacking. Em uma amostra de 50 cenas de filmes e séries lançados entre 2010 e 2022, os ataques eram concluídos rapidamente e obtinham sucesso em taxas incomuns. O processo técnico geralmente ficava oculto sob uma "caixa-preta" simplificada. Os jogos eletrônicos permitem que os jogadores realizem invasões simplificadas e escolham alvos ou ferramentas. Os jogadores podem assumir o papel de um criminoso, mercenário, ativista ou defensor.