Cyber Ethics and Ethical Hackingئەخلاقی سایبەری و هاککردنی ئەخلاقی

This lesson continues the chapter on ethics and law, which opens with Digital citizenship. The lecture's subtitle says what the chapter is about: navigating the intersection of morality and law in the digital realm. In plain words: finding your way at the place where right and wrong meet what the law allows, on computers and networks.

ئەم وانەیە بەشی ئەخلاق و یاسا درێژە پێدەدات، کە بە هاووڵاتیبوونی دیجیتاڵی دەست پێ دەکات. ناونیشانی لاوەکیی وانەکە دەڵێت ئەم بەشە دەربارەی چییە: ڕێگەدۆزینەوە لەو شوێنەی ئەخلاق و یاسا لە جیهانی دیجیتاڵیدا یەکتر دەگرنەوە. بە زمانێکی سادە: زانینی ڕێگەی دروست لەو خاڵەی چاکە و خراپە لەگەڵ ئەوەی یاسا ڕێگەی پێ دەدات لە کۆمپیوتەرەکان (Computer) و ڕایەڵەکاندا (Network) بەیەک دەگەن.

Many cybersecurity challenges have ethical and legal implications. An implication is a possible later effect of an action or a decision. So before acting, a security professional asks two separate questions:

زۆرێک لە بەربەستەکانی ئاسایشی سایبەر (Cybersecurity) کاریگەریی ئەخلاقی و یاساییان هەیە. «کاریگەری» لێرەدا واتە ئەنجامێکی ئەگەریی کارێک یان بڕیارێک لە داهاتوودا. بۆیە پسپۆڕی ئاسایش پێش ئەوەی کارێک بکات دوو پرسیاری جیاواز دەکات:

Professionals must deal with these challenges carefully: they protect users and, at the same time, they comply with the law. To comply means to do what you have to do, or what you are asked to do.

پسپۆڕانی ئەم بوارە دەبێت بە وریاییەوە مامەڵە لەگەڵ ئەم بەربەستانەدا بکەن: بەکارهێنەرەکان (User) دەپارێزن و لە هەمان کاتدا پێچەوانەی یاسا ناکەن. «comply» واتە ئەو کارە بکەیت کە دەبێت بیکەیت، یان داوات لێ کراوە بیکەیت.

The two questions do not always give the same answer. The table shows the four possible mixes.

ئەم دوو پرسیارە هەمیشە یەک وەڵامیان نییە. خشتەکە چوار تێکەڵەی ئەگەری پیشان دەدات.

The notes give one short reason for each side: ethical behaviour builds trust, and legal adherence avoids penalties. If a company protects its users' privacy, the users trust it. Legal adherence means being law-abiding: following the law in what you do.

تێبینییەکان بۆ هەر لایەک هۆیەکی کورت دەدەن: ڕەفتاری ئەخلاقی متمانە دروست دەکات و پابەندبوون بە یاسا (Compliance) ڕێ لە سزا دەگرێت. ئەگەر کۆمپانیایەک تایبەتێتیی بەکارهێنەرەکانی خۆی بپارێزێت، بەکارهێنەرەکان متمانەی پێ دەکەن. «legal adherence» واتە یاساپەروەری: کارەکانت بەپێی یاسا بن.

The lecture's example is a hard one: a company deciding whether to disclose (reveal) a breach, or to keep quiet and risk damage to its name. Imagine a mobile operator, Aram Mobile, whose customer database is stolen. It has two choices:

نموونەی وانەکە نموونەیەکی قورسە: کۆمپانیایەک بڕیار دەدات دزەکردنێکی دراوە (Data breach) ئاشکرا بکات، یان بێدەنگ بێت و ناوبانگی بخاتە مەترسییەوە. وا دابنێ کۆمپانیایەکی مۆبایل بە ناوی ئارام مۆبایل بنکەدراوەی (Database) کڕیارەکانی دزراوە. دوو ڕێگەی لەبەردەمدایە:

Ethics points to the first choice. In many places the law does too: Europe's GDPR and the United States' HIPAA set deadlines for telling the authorities and the people affected. You will meet those rules in Europe's GDPR and HIPAA and China's laws.

ئەخلاق ڕێگەی یەکەم پیشان دەدات. لە زۆر شوێن یاساش هەمان شت دەڵێت: GDPRـی ئەوروپا و HIPAAـی ئەمریکا ماوەی دیاریکراو دادەنێن بۆ ئاگادارکردنەوەی دەسەڵاتداران و ئەو کەسانەی زیانیان پێ گەیشتووە. ئەم ڕێسایانە لە GDPRـی ئەوروپا و HIPAA و یاساکانی چین دەبینیت.

The notes define cyber ethics as the moral principles that guide individuals and organisations in the digital world. It deals with topics such as:

تێبینییەکان ئەخلاقی سایبەری بەم شێوەیە دەناسێنن: ئەو بنەما ڕەوشتییانەی ڕێنمایی تاک و ڕێکخراوەکان دەکەن لە جیهانی دیجیتاڵیدا. مامەڵە لەگەڵ بابەتی وەک ئەمانەدا دەکات:

The notes' example: choosing not to use malware tools, even if they could help your personal research. Why say no? Tools from criminal markets often support criminals, may hide malware that infects you, and the EC-Council code tells members not to use software obtained illegally or unethically. Learn with legal practice labs and well-known open tools, on machines you own.

نموونەی تێبینییەکان: بڕیاردان بە بەکارنەهێنانی ئامرازەکانی نەرمەواڵەی زیانبەخش (Malware)، تەنانەت ئەگەر سوودیان بۆ توێژینەوەی کەسیت هەبێت. بۆچی «نا»؟ ئامرازەکانی بازاڕی تاوانکاران زۆرجار پاڵپشتی تاوانکاران دەکەن، لەوانەیە نەرمەواڵەیەکی زیانبەخش تێدا شاردرابێتەوە کە خۆت تووش دەکات و یاسای ئەخلاقیی ⁦EC-Council⁩ بە ئەندامەکانی دەڵێت ئەو نەرمەواڵە (Software) بەکار نەهێنن کە بە شێوەی نایاسایی یان نائەخلاقی بەدەست هاتووە. لە تاقیگەی ڕاهێنانی یاسایی و ئامرازی کراوەی ناسراودا فێربە، لەسەر ئەو ئامێرانەی خۆت خاوەنیانیت.

Ethical hacking is the authorised testing of a system's defences to find its vulnerabilities and to recommend fixes. It is a proactive approach: you act in advance, before malicious attackers find the same holes.

هاککردنی ئەخلاقی تاقیکردنەوەی ڕێگەپێدراوی بەرگرییەکانی سیستەمێکە بۆ دۆزینەوەی خاڵە لاوازەکانی و پێشنیارکردنی چارەسەر. ڕێگەیەکی پێشوەختەیە (proactive): پێش ئەوەی هێرشبەرە خراپەکارەکان هەمان کون بدۆزنەوە، تۆ کار دەکەیت.

The notes joke that ethical hacking is like 'white magic': the same knowledge an attacker has, used to protect instead of to harm. What turns hacking into ethical hacking is not the skill. It is three things together: the owner's permission, a clear scope (what may be tested), and an honest report that helps fix the problems.

تێبینییەکان بە گاڵتەوە دەڵێن هاککردنی ئەخلاقی وەک «سحری سپی»یە: هەمان زانیاریی هێرشبەرێک، بەڵام بۆ پاراستن نەک زیانگەیاندن. ئەوەی هاککردن دەکاتە هاککردنی ئەخلاقی شارەزایی نییە. سێ شتە پێکەوە: مۆڵەتی خاوەنەکە، سنوورێکی ڕوون (چی تاقی دەکرێتەوە) و ڕاپۆرتێکی (Report) ڕاستگۆیانە کە یارمەتی چاککردنی کێشەکان دەدات.

The notes' example: companies hire Certified Ethical Hackers (CEH) to perform penetration tests. CEH is a certificate of the EC-Council. A penetration test answers one question: could real attackers penetrate (get into) our systems, and how far could they go? Through these skilled testers the company makes sure its systems are safe and have no weak point through which attackers could get in.

نموونەی تێبینییەکان: کۆمپانیاکان هاکەری ئەخلاقیی بڕوانامەدار ⁦(CEH)⁩ بەکرێ دەگرن بۆ ئەنجامدانی تاقیکردنەوەی دزەکردن. CEH بڕوانامەیەکی ⁦EC-Council⁩ـە. تاقیکردنەوەی دزەکردنەکە وەڵامی یەک پرسیار دەداتەوە: ئایا هێرشبەرە ڕاستەقینەکان دەتوانن دزە بکەنە ناو سیستەمەکانمانەوە و هەتا کوێ دەڕۆن؟ کۆمپانیاکە لە ڕێگەی ئەم تاقیکەرە شارەزایانەوە دڵنیا دەبێتەوە کە سیستەمەکانی سەلامەتن و هیچ خاڵێکی لاوازیان تێدا نییە کە هێرشبەرەکان لێیەوە بچنە ژوورەوە.

The UK's National Cyber Security Centre (NCSC) adds three useful points. A penetration test gives assurance: it checks that your own process for finding and fixing vulnerabilities really works; it is not the main way to find them. A good report lists each problem, its risk level and a fix. And a test shows only what was found on the test day, inside the agreed scope: a clean report is not a promise for next year.

سەنتەری نیشتیمانیی ئاسایشی سایبەری بەریتانیا ⁦(NCSC)⁩ سێ خاڵی بەسوود زیاد دەکات. تاقیکردنەوەی دزەکردن دڵنیایی دەدات: دەپشکنێت ئایا ڕێگەی خۆت بۆ دۆزینەوە و چاککردنی خاڵە لاوازەکان بەڕاستی کار دەکات؛ ڕێگەی سەرەکیی دۆزینەوەیان نییە. ڕاپۆرتێکی باش هەموو کێشەیەک، ئاستی مەترسییەکەی (Risk) و چارەسەرەکەی دەنووسێت. هەروەها تاقیکردنەوەکە تەنها ئەوە پیشان دەدات کە لە ڕۆژی تاقیکردنەوەکەدا و لە ناو سنووری ڕێککەوتووەکەدا دۆزراوەتەوە: ڕاپۆرتێکی پاک بەڵێن نییە بۆ ساڵی داهاتوو.

The owner's homework on this topic makes the main point clearly: organisations use penetration testing to find vulnerabilities, but it must be done ethically. Ethical testers must follow the rules that the organisation sets, such as:

ئەرکی ماڵەوەی خاوەنی تێبینییەکان لەم بارەیەوە خاڵە سەرەکییەکە بە ڕوونی دەڵێت: ڕێکخراوەکان تاقیکردنەوەی دزەکردن بەکار دەهێنن بۆ دۆزینەوەی خاڵە لاوازەکان، بەڵام دەبێت بە شێوەیەکی ئەخلاقی ئەنجام بدرێت. تاقیکەرانی ئەخلاقی دەبێت پەیڕەوی ئەو ڕێسایانە بکەن کە ڕێکخراوەکە دایناون، وەک:

The limits of a test (its boundaries) depend on the organisation's size and rules. But honesty, legality and responsibility must always come first.

سنووری تاقیکردنەوەکە بەندە بە قەبارە و ڕێساکانی ڕێکخراوەکە. بەڵام ڕاستگۆیی، یاساپەروەری و بەرپرسیارێتی هەمیشە دەبێت لە پێشەوە بن.

In practice the rules are written in a short signed document, often called the rules of engagement. The picture shows what it usually contains.

لە ڕاستیدا ڕێساکان لە بەڵگەنامەیەکی کورتی واژۆکراودا دەنووسرێن کە زۆرجار پێی دەڵێن «ڕێساکانی کارکردن» (rules of engagement). وێنەکە پیشان دەدات زۆرجار چی تێدایە.

Hackers are often sorted by the colour of an imaginary hat. The names come from old cowboy films, where the hero wore a white hat and the villain a black one. (Two related words, cracker and hacktivist, are explained in Crackers, hackers and hats.) The notes compare the three kinds:

هاکەرەکان زۆرجار بەپێی ڕەنگی کڵاوێکی خەیاڵی پۆلێن دەکرێن. ناوەکان لە فیلمە کۆنەکانی کاوبۆیەوە هاتوون، کە پاڵەوانەکە کڵاوی سپی و خراپەکارەکە کڵاوی ڕەشی لەسەر دەکرد. (دوو وشەی پەیوەندیدار، کراکەر (cracker) و هاکتیڤیست (Hacktivist)، لە کراکەر، هاکەر و کڵاوەکان ڕوون کراونەتەوە.) تێبینییەکان بەم شێوەیە سێ جۆرەکە بەراورد دەکەن:

The animation shows the same open door found by three different people.

ئەنیمەیشنەکە هەمان دەرگای کراوە پیشان دەدات کە سێ کەسی جیاواز دەیدۆزنەوە.

The owner adds a note on grey hats: they are harmful or helpful according to their own mood and needs, they are not employees of any company, and most of the time they are not harmful. The white-hat example, bug bounties, is the legal road for the same curiosity: see Responsible Disclosure and Bug Bounties. Ransomware is explained in Ransomware.

خاوەنی تێبینییەکان تێبینییەک دەربارەی کڵاو خۆڵەمێشییەکان زیاد دەکات: بەپێی ئارەزوو و پێویستیی خۆیان زیانبەخش یان سوودبەخشن، لە هیچ کۆمپانیایەکدا کارمەند نین و زۆرجار زیانبەخش نین. نموونەی کڵاو سپییەکان، واتە خەڵاتی دۆزینەوەی باگ، ڕێگە یاساییەکەیە بۆ هەمان حەزی گەڕان: بڕوانە ئاشکراکردنی بەرپرسیارانە و خەڵاتی دۆزینەوەی باگ. نەرمەواڵەی بارمتەگر لە نەرمەواڵەی بارمتەگر ڕوون کراوەتەوە.

Professional ethics in cybersecurity are the standards that make security professionals act responsibly and keep users' trust. The notes' example: not misusing admin privileges for personal gain. An administrator can often see salaries, messages or customers' records. Being able to look is not a reason to look: read only what your job needs.

ئەخلاقی پیشەیی لە ئاسایشی سایبەردا ئەو ستانداردانەن کە وا لە پسپۆڕانی ئاسایش دەکەن بە بەرپرسیارییەوە کار بکەن و متمانەی بەکارهێنەرەکان بپارێزن. نموونەی تێبینییەکان: بەکارنەهێنانی مۆڵەتەکانی (Privilege) بەڕێوەبەر بە خراپی بۆ قازانجی کەسی. بەڕێوەبەرێک زۆرجار دەتوانێت مووچە، نامە یان تۆماری کڕیاران ببینێت. توانای سەیرکردن هۆ نییە بۆ سەیرکردن: تەنها ئەوە بخوێنەرەوە کە کارەکەت پێویستی پێیەتی.

The EC-Council, the organisation behind the CEH certificate, has a code of ethics to keep its members professional and honest (integrity). The lecture sums it up in three main rules that every expert in the field needs:

⁦EC-Council⁩، ئەو ڕێکخراوەی بڕوانامەی CEH دەدات، یاسایەکی ئەخلاقیی هەیە بۆ ئەوەی ئەندامەکانی پیشەیی و ڕاستگۆ بن (integrity). وانەکە ئەم یاسایە لە سێ ڕێسای سەرەکیدا کورت دەکاتەوە کە هەموو شارەزایەکی ئەم بوارە پێویستیەتی:

(ISC)², today written ISC2, is a global organisation that trains and certifies cybersecurity professionals (it gives, for example, the CISSP certificate). Its code of ethics guides members to act with integrity, professionalism and responsibility. Every member must follow it, and ISC2 has an ethics committee that handles complaints against members. Its four canons (core principles) say:

⁦(ISC)⁩²، کە ئەمڕۆ بە شێوەی ⁦ISC2⁩ دەنووسرێت، ڕێکخراوێکی جیهانییە کە پسپۆڕانی ئاسایشی سایبەر ڕادەهێنێت و بڕوانامەیان پێ دەدات (بۆ نموونە بڕوانامەی CISSP). یاسا ئەخلاقییەکەی ڕێنمایی ئەندامان دەکات کە بە ڕاستگۆیی، پیشەیی و بەرپرسیارێتییەوە کار بکەن. هەموو ئەندامێک دەبێت پەیڕەوی بکات و ⁦ISC2⁩ لیژنەیەکی ئەخلاقیی هەیە کە سکاڵاکان لەسەر ئەندامان وەردەگرێت. چوار بنەما سەرەکییەکەی دەڵێن:

A third code is useful because it covers all computing work, not only security. The ACM (Association for Computing Machinery) Code of Ethics (2018) includes: avoid harm (1.2); respect privacy (1.6); honour confidentiality (1.7); access computing and communication resources only when authorised or when compelled by the public good (2.8); and design systems that are robustly and usably secure (2.9). Even the 'public good' exception does not change the law of your country: in most places getting into a system without permission is still a crime.

یاسایەکی سێیەم بەسوودە چونکە هەموو کارێکی کۆمپیوتەری دەگرێتەوە، نەک تەنها ئاسایش. یاسای ئەخلاقیی ACM (⁦Association for Computing Machinery⁩، کۆمەڵەی پسپۆڕانی کۆمپیوتەر)، وەشانی ٢٠١٨، ئەمانەی تێدایە: زیان مەگەیەنە (١.٢)؛ ڕێز لە تایبەتێتی بگرە (١.٦)؛ نهێنی بپارێزە (١.٧)؛ تەنها کاتێک دەست بگەیەنە سەرچاوەکانی کۆمپیوتەر و پەیوەندی کە ڕێگەت پێدراوە یان بەرژەوەندیی گشتی ناچارت دەکات (٢.٨)؛ و سیستەم دیزاین بکە کە بە شێوەیەکی بەهێز و بەکارهێنراو سەلامەت بێت (٢.٩). تەنانەت بەدەرکردنی «بەرژەوەندیی گشتی» یاسای وڵاتەکەت ناگۆڕێت: لە زۆربەی شوێنەکان چوونە ناو سیستەمێک بەبێ مۆڵەت هەر تاوانە.

Read side by side, the three codes agree on the same core: protect people, obey the law, be honest, keep secrets, work only with permission and within your skills.

ئەگەر سێ یاساکە لە تەنیشت یەکەوە بخوێنیتەوە، لەسەر هەمان ناوەڕۆک ڕێککەوتوون: خەڵک بپارێزە، پابەندی یاسا بە، ڕاستگۆ بە، نهێنی بپارێزە، تەنها بە مۆڵەت و لە سنووری شارەزایی خۆتدا کار بکە.

Codes of ethics are promises inside a profession. Laws are enforced by the police and the courts, for everyone. Almost every country makes unauthorised access a crime. Two examples:

یاسا ئەخلاقییەکان بەڵێنن لە ناو پیشەیەکدا. یاساکان پۆلیس و دادگا جێبەجێیان دەکەن، بۆ هەموو کەس. نزیکەی هەموو وڵاتێک دەستڕاگەیشتنی بێ‌مۆڵەت (Unauthorized access) بە تاوان دادەنێت. دوو نموونە:

What applies in Iraq and the Kurdistan Region is explained, with its sources, in The law at home.

ئەوەی لە عێراق و هەرێمی کوردستان جێبەجێ دەکرێت، لەگەڵ سەرچاوەکانی، لە یاسا لە وڵاتی خۆماندا ڕوون کراوەتەوە.

The owner's homework gives a real case. The American company Under Armour owned an app called MyFitnessPal. In February 2018 attackers got into its data. On 29 March 2018 the company announced that about 150 million user accounts were affected: usernames, e-mail addresses and hashed passwords (stored in a scrambled form, not as plain text). Payment card data and ID numbers were not taken. All users had to change their passwords. The company did not publish how the attackers got in.

ئەرکی ماڵەوەی خاوەنی تێبینییەکان نموونەیەکی ڕاستەقینە دەهێنێتەوە. کۆمپانیای ئەمریکیی ⁦Under Armour⁩ خاوەنی ئەپێک بوو بە ناوی MyFitnessPal. لە شوباتی ٢٠١٨دا هێرشبەرەکان دزەیان کردە ناو دراوەکانی. لە ٢٩ی ئازاری ٢٠١٨دا کۆمپانیاکە ڕایگەیاند کە نزیکەی ١٥٠ ملیۆن هەژماری بەکارهێنەر (User account) زیانیان پێ گەیشتووە: ناوەکانی بەکارهێنەر (Username)، ناونیشانی ئیمەیڵ (Email) و تێپەڕەوشە هاشکراوەکان (بە شێوەیەکی تێکدراو هەڵگیرابوون، نەک وەک دەقی ئاسایی). زانیاریی کارتی پارەدان و ژمارەی ناسنامە نەبران. هەموو بەکارهێنەرەکان ناچار بوون تێپەڕەوشەکانیان بگۆڕن. کۆمپانیاکە بڵاوی نەکردەوە هێرشبەرەکان چۆن چوونە ژوورەوە.

The homework then gives the owner's opinion: ethically, ethical hackers should have prevented this in advance. But if the company has not set up any group for this purpose, doing such work may cause legal problems. In other words, an outsider who tests the app without an invitation breaks the law, even to help. The cause of this breach was never published, so 'ethical hackers would have stopped it' is an opinion to discuss, not a known fact.

پاشان ئەرکی ماڵەوەکە ڕای خاوەنەکەی دەدات: لە ڕووی ئەخلاقییەوە دەبوو هاکەرە ئەخلاقییەکان پێشوەختە ڕێیان لەمە بگرتایە. بەڵام کاتێک کۆمپانیاکە هیچ گروپێکی بۆ ئەم مەبەستە دانەنابێت، ئەنجامدانی کارێکی ئاوها لەوانەیە ببێتە هۆی کێشەی یاسایی. بە واتایەکی تر، کەسێکی دەرەکی کە بەبێ بانگهێشت ئەپەکە تاقی دەکاتەوە یاسا دەشکێنێت، تەنانەت بۆ یارمەتیدانیش. هۆکاری ئەم دزەکردنی دراوەیە هەرگیز بڵاو نەکرایەوە، بۆیە «هاکەرە ئەخلاقییەکان ڕێیان لێ دەگرت» ڕایەکە بۆ گفتوگۆ، نەک ڕاستییەکی سەلمێنراو.