Mit nézzünk a Black Hat és a Defcon

A Black Hat és a Defcon konferencia nagy híreinek megjósolása rendkívül bonyolult, ha nem lehetetlen. Általában a legérdekesebb történetek bukkannak fel az utolsó pillanatban - a hackerek hajlamosak arra, hogy felfigyeljenek az igazán nagy tárgyalásokra, mert nem akarják, hogy ideges ügyvédek leállítsák őket. És még akkor is, ha úgy gondolod, hogy tudod, mi történik, néha az egyik bemutató előrelépést tesz a középpontba, ahogyan a Defcon három évvel ezelőtt történt, amikor a Dateline NBC riportere, Michelle Madigan elfogyott a konferenciából, és titokban filmes résztvevőket próbált.

A Black Hat, a több vállalati esemény és a szabálytalan húga konferencia, a Defcon, egymás után évente Las Vegasban kerülnek megrendezésre. Az idei Black Hat konferencia szerdán és csütörtökön tart. A Defcon pénteken-vasárnap indul.

Szóval várj valami káoszt ezen a héten Las Vegas-ban. Várj néhány meglepetést. Ha részt veszel, várj egy másnaposságot. De nézze meg néhány érdekes biztonsági történetet ezeken a témákon:

[További olvasnivalók: Hogyan távolítsuk el a rosszindulatú programokat a Windows számítógépéről]

1) Az ATM Jackpot megnyerése

Az idei leginkább várt beszélgetés Barnaby Jack, korábban a Juniper Networks. Jack az elmúlt néhány évben játszik az automatákkal (automatikus bankjegykiadó automatákkal), és készen áll arra, hogy beszéljen néhány, a termékben talált hibáról. Még nem tudjuk, hogy az ATM-ek sebezhetőek - vagy akár a gyártók nyilvánosságra hozatala is -, de az ATM-ek zöld területek a sebezhetőségkutatók számára.

Black Hat konferenciaigazgató Jeff Moss szerint az ATM-hibákkal kapcsolatos munka emlékeztet a néhány évvel ezelőtti szavazógép-kutatás - ami komoly biztonsági réseket jelentett a rendszerekben, és számos kormányzati ügynökséget arra késztette, hogy átgondolja az e-szavazás kiépítését.

Jack beszélgetése ellentmondásos. Juniper a tavalyi Black Hat konferencia előtti utolsó percben húzta meg, az ATM döntéshozók kérésére. De most egy új vállalatnak, az IOActive-nek dolgozik, Jack tervezi, hogy bemutatja az ATM-k támadásának számos új módját, beleértve a távoli támadásokat. A "Terminator 2" helyszínén is mindig tetszett a jelenet, ahol John Connor az ATM-hez, az interfészekhez érkezik az ő Atarija a kártyaolvasóhoz, és készpénzt kap a gépből, azt hiszem, hogy a gyereket megverte - mondja Jack az absztraktban.

2) DNS

Két évvel ezelőtt Dan Kaminsky világméretű címsorokat tett közzé, feltárva egy hiba a DNS-ben (Domain Name System), amely az interneten található számítógépek címét keresi. Ebben az évben Kaminsky ismét a Black Hat-ban beszél - ezúttal a webes biztonsági eszközökön. Ugyanakkor a sajtóértekezleten is részt vett, ahol ő és az ICANN (az Internet Corporation a hozzárendelt nevek és számok) és a VeriSign képviselői megvitatták a Domain Name System Security Extensions (DNSSEC) hogy az internethez csatlakozó számítógépek tényleg azt állítják, hogy valójában.

Körülbelül két héttel ezelőtt az ICANN elnökölt egy root kiszolgáló első titkosítási aláírását egy DNSSEC kulcs segítségével. A DNSSEC még nem széles körben támogatott, de az ICANN reméli, hogy a gyökérzónának aláírásával mások támogatják a protokollt a kiszolgálói és ügyfélszoftverükben.

A Kaminsky-hez hasonló kutatók azt mondják, hogy a DNSSEC széleskörű elfogadása megakadályozhat egy egészet az online támadások. "Megvizsgáltuk, hogy a DNSSEC nem csak a DNS sérülékenységét fogja kezelni, hanem a biztonság legfontosabb sebezhetőségeit is" - mondta Kaminsky egy interjúban. "Nem fogunk megoldani mindazokat a problémákat a DNSSEC-nél … de a DNSSEC által kezelt hitelesítési sebezhetőségek egész osztályát".

3) Mobil hibák

Engedje el a Kraken-ot! Ez az, amit a GSM biztonsági kutatók fognak tenni ebben a évben a Black Hat-ban, ami végső soron az amerikai és az európai mobilhálózat-üzemeltetők számára súlyos fejfájássá válhat. A Kraken egy nyílt forráskódú GSM-repedező szoftver, amely éppen befejeződött. Néhány nagyszerűen optimalizált szivárványtábla (kódkódok, amelyek segítik a titkosítási törés felgyorsítását), a hackerek számára lehetővé teszik a GSM-hívások és üzenetek visszafejtését.

Mi a Kraken nem teheti meg, hogy felhívja a hívásokat levegő. De van egy újabb GSM-szippantási projekt - az AirProbe-nek -, ami valóra válik. Az ezeken az eszközökön dolgozó kutatók szerint azt szeretnék megmutatni a rendszeres felhasználóknak, hogy a kémek és a biztonsági geek már régóta ismertek: az A5 / 1-es titkosítási algoritmus, mint a T-Mobile és az AT & T, gyenge, törött.

De miért szünetelteti a GSM titkosítást, ha egyszerűen megpróbálhatja a telefonokat összekapcsolni egy hamis állomással, majd leesni a titkosítást? Chris Paget éppen ezt a héten próbálja bemutatni Las Vegasban, ahol azt mondja, meghívja a konferencia résztvevőket, hogy hívásaikat elfogják. Szórakoztató bemutató legyen, ha törvényes. Paget úgy gondolja. Ő kifejlesztette azt is, amit a "világrekord" -nak nevez az RFID-címkék távolságért - több száz méterre -, amiről egy Black Hat beszélgetésben beszél.

Egy másik kutató, aki csak a The Grugq néven ismert, beszélni fog rosszindulatú GSM hálózati bázisállomások és alkatrészek mobil eszközökön. "Bízzon bennünket, akkor szeretné * kikapcsolni a telefont a beszélgetés időtartama alatt" - mondja a beszéd leírása.

És egy olyan héten, amelyet a Citibank bevallásával indított el, iPhone App, egy másik beszélgetés nézni lesz Lookout Security "App Atttack", amely rávilágít a bizonytalanságok a mobil alkalmazások.

4) Ipari rémálom

Siemens megkóstolta ebben a hónapban, milyen érzés reagálni egy a valós SCADA (felügyeleti ellenőrzés és adatgyűjtés) támadás, amikor valaki elszabadult egy kifinomult féreg támadása a Windows alapú irányítási rendszerek. A SCADA szakemberei azonban azt mondják, hogy a Siemens sajnos szerencsétlen volt, és hogy ez a fajta támadás könnyedén megszüntette a versenytársak bármelyikét. Valójában rengeteg biztonsági probléma van az ipari vezérlőrendszerekkel szemben - annyi, hogy idén a Fekete kalapban kapják saját pályájukat.

Az elmúlt 10 évben Jonathan Pollet, a Red Tiger Security alapítója, több mint 120 SCADA rendszeren végzett biztonsági értékeléseket, és arról fog szólni, hogy hol lehetnek a leggyorsabban felmerülő biztonsági rések. Pollet azt mondja, hogy sok hálózat egyfajta emberember földet nem fejlesztett ki az informatikai és ipari rendszerek között - olyan számítógépek, amelyek gyakran veszélyeztetik, mert senki sem látja teljes mértékben a tulajdonjogát.

Pollet fog beszélni arról, hogy hol találhatók ezek a hibák az infrastruktúra - a vállalat 38 000 sebezhetőségről gyűjt adatokat - és a rájuk írt kizsákmányolások típusát. "Nem kell várni a nulla napos sebezhetőségre" - mondta. "Nagyon sok kihasználás van ott."

5) Vérkártya!

A Zero for Owned csoport, aki Dan Kaminsky és mások elleni támadást tett a múlt heti show visszatérése előestéjén? Fogják-e a szövetségiek vagy az AT & T megállítani a Paget-et a GSM-szel? Az irigységes ATM-forgalmazó egy utolsó perccel kapcsolatos jogi kihívást jelentene Barnaby Jack beszélésére? Will Defcon's Social Engineering versenyen a pénzügyi szolgáltató iparágban valaki megkínál egy tömítést? Vajon egy méhek csapata fertőzheti meg a medencét a riviérán? Ki tudja, de Vegasban várják a váratlanul.

Robert McMillan a számítógépes biztonságot és az általános technológiai hírleveleket a The IDG News Service-re fedi le. Kövesse Robert a Twitteren @ bobmcmillan. Robert e-mail címe [email protected]