Co obejrzeć w Black Hat i Defcon

Próba przewidywania wielkich wiadomości na konferencjach Black Hat i Defcon w tym tygodniu jest niezwykle trudna, jeśli nie niemożliwa. Zwykle najciekawsze historie pojawiają się w ostatniej chwili - hakerzy mają tendencję do powstrzymywania się od ujawniania naprawdę wielkich rozmów, ponieważ nie chcą, by roztrzęsieni prawnicy je wyłączali. Nawet jeśli wydaje ci się, że wiesz, co się dzieje, czasami jeden z programów wychodzi na scenę, tak jak Defcon trzy lata temu, kiedy reporterka Dateline NBC Michelle Madigan skończyła konferencję, próbując potajemnie uczestniczyć w pokazach filmowych.

Black Hat, bardziej korporacyjna impreza i jej niesforna siostrzana konferencja, Defcon, odbywają się jeden po drugim każdego roku w Las Vegas. Tegoroczna konferencja Black Hat odbędzie się w środę i czwartek. Defcon działa od piątku do niedzieli.

Spodziewaj się chaosu w tym tygodniu w Las Vegas. Spodziewaj się niespodzianek. Jeśli bierzesz udział, spodziewaj się kaca. Ale zwróć także uwagę na interesujące historie dotyczące bezpieczeństwa na następujące tematy:

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

1) Uderzenie w pulę ATM

Tegoroczna najbardziej oczekiwana rozmowa pochodzi od Barnaby Jack, wcześniej z Juniper Networks. Jack od kilku lat bawi się bankomatami (bankomatami) i jest gotów porozmawiać o kilku błędach, które znalazł w produktach. Nie wiemy jeszcze, czyje bankomaty są podatne na zagrożenia - a nawet jeśli producenci zostaną ujawnieni - ale bankomaty to zielone pole dla badaczy wrażliwych.

Dyrektor konferencji Black Hat, Jeff Moss, mówi, że praca nad błędami ATM przypomina badania nad automatami do głosowania, które pojawiły się kilka lat temu - które wykazały poważne luki w zabezpieczeniach systemów i spowodowały, że wiele agencji rządowych ponownie zastanowiło się, w jaki sposób wprowadzają oni głosowanie elektroniczne.

Dyskusja Jacka jest kontrowersyjna. Juniper wyciągnął go w ostatniej chwili przed zeszłoroczną konferencją Black Hat, na prośbę producentów bankomatów. Ale teraz pracując dla nowej firmy, IOActive, Jack planuje pokazać kilka nowych sposobów ataku na bankomaty, w tym zdalne ataki. Odkryje także, jak określa to jego wypowiedź, "wieloplatformowy rootkit ATM".

"Zawsze podobała mi się scena w" Terminatorze 2 ", gdzie John Connor podchodzi do bankomatu, interfejsy jego Atari do czytnika kart i pobiera pieniądze z maszyny Myślę, że mam tego dzieciaka - mówi Jack w swoim streszczeniu.

2) DNS

Dwa lata temu Dan Kaminsky trafił na pierwsze strony gazet na całym świecie, odkrywając błąd w DNS (Domain Name System) używany do wyszukiwania adresów komputerów w Internecie. W tym roku Kaminsky przemawia ponownie w Black Hat - tym razem na internetowych narzędziach bezpieczeństwa. Ale został również zaproszony do udziału w konferencji prasowej, podczas której on i przedstawiciele ICANN (Internet Corporation for Assigned Names and Numbers) i VeriSign omówią rozszerzenia DNS (Domain Name System Security Extensions, DNSSEC) - nowy sposób wykonywania DNS, który zapewnia poziom Pewności, że komputery podłączone do Internetu są tym, za co się podają.

Około dwa tygodnie temu ICANN przewodniczył pierwszemu podpisowi kryptograficznemu serwera głównego z kluczem DNSSEC. DNSSEC nie jest jeszcze szeroko obsługiwany, ale ICANN ma nadzieję, że podpisując strefę root, zachęci innych do obsługi protokołu w oprogramowaniu serwera i klienta.

Badacze tacy jak Kaminsky twierdzą, że powszechne przyjęcie DNSSEC może ograniczyć cały pakiet ataków online. "Badaliśmy, w jaki sposób DNSSEC rozwiąże nie tylko luki w zabezpieczeniach DNS, ale także niektóre z głównych luk, które mamy w bezpieczeństwie" - powiedział Kaminsky w wywiadzie. "Nie rozwiążemy wszystkich tych problemów z DNSSEC … ale istnieje cała klasa luk w uwierzytelnianiu, które obsługuje DNSSEC."

3) Mobilne błędy

Uwolnij Krakena! Właśnie to robią analitycy bezpieczeństwa GSM w tym roku w Black Hat, co może ostatecznie stać się poważnym problemem dla amerykańskich i europejskich operatorów sieci komórkowych. Kraken to otwarte oprogramowanie do łamania GSM, które właśnie zostało ukończone. W połączeniu z wysoce zoptymalizowanymi tablicami tęczowymi (listami kodów, które pomagają przyspieszyć proces łamania szyfrów), daje hakerom możliwość odszyfrowywania połączeń i wiadomości GSM.

To, czego Kraken nie robi, to wyciągnąć telefony z powietrze. Ale jest jeszcze inny projekt podsłuchu GSM - zwany AirProbe - który chce to urzeczywistnić. Naukowcy pracujący nad tymi narzędziami mówią, że chcą pokazywać zwykłym użytkownikom, od dawna znanym od dawna szpiegom i analitykom bezpieczeństwa: że algorytm szyfrowania A5 / 1 używany przez operatorów takich jak T-Mobile i AT & T jest słaby i może być łatwo zepsuty.

Ale po co łamać szyfrowanie GSM, skoro można po prostu oszukać telefony do połączenia z fałszywą stacją bazową, a następnie zrzucić szyfrowanie? Właśnie to Chris Paget planuje przeprowadzić w tym tygodniu w Las Vegas, gdzie mówi, że zaprosi uczestników konferencji, aby ich rozmowy zostały przechwycone. Powinny być zabawne demo, jeśli jest legalne. Paget uważa, że ​​tak. Opracował także to, co nazywa "światowym rekordem" do odczytywania tagów RFID na odległość - setki metrów - o czym będzie dyskutował podczas przemówienia w Black Hat.

Inny badacz, znany jako The Grugq, opowie o budowaniu złośliwych stacji bazowych i komponentów sieci GSM na urządzeniach mobilnych. "Zaufaj nam, możesz * chcesz * wyłączyć telefon na czas trwania tej rozmowy" - czytamy w opisie rozmowy.

I w tydzień, w którym przyznano Citibankowi, że naruszyło ono bezpieczeństwo Aplikacja na iPhone'a, kolejna rozmowa do obejrzenia, to "App Attack" firmy Lookout Security, która rzuci światło na niepewność w aplikacjach mobilnych.

4) Przemysłowy koszmar

Siemens zasmakował w tym miesiącu, jak to jest reagować na Real-World SCADA (kontrola nadzorcza i akwizycja danych), gdy ktoś uwolnił wyrafinowanego robaka atakującego swoje systemy zarządzania oparte na Windows. Jednak eksperci SCADA twierdzą, że Siemens miał pecha i że ten rodzaj ataku mógł z łatwością obalić każdego z konkurentów firmy. W rzeczywistości istnieje mnóstwo problemów związanych z bezpieczeństwem, które nękają systemy sterowania w przemyśle - tak wiele, że w tym roku zdobywają oni własny ślad w Black hat.

W ciągu ostatnich 10 lat Jonathan Pollet, założyciel Red Tiger Security, przeprowadził oceny bezpieczeństwa w ponad 120 systemach SCADA i omówi, gdzie najprawdopodobniej pojawią się luki w zabezpieczeniach. Pollet twierdzi, że wiele sieci rozwinęło rodzaj ziemi niczyjej pomiędzy systemami informatycznymi i przemysłowymi - komputerami, które często są zagrożone, ponieważ nikt nie wydaje się ich całkowicie posiadać.

Pollet będzie mówił o tym, gdzie te błędy pojawiają się w infrastruktura - jego firma zebrała dane o 38 000 luk w zabezpieczeniach - i rodzajach exploitów, które zostały dla nich napisane. "Nie musisz czekać na luki zero-day", powiedział. "Istnieje już wiele exploitów."

5) Wildcard!

Czy grupa Zero for Owned, która włamała się do Dana Kaminsky'ego i innych w przededniu ubiegłotygodniowego programu, wraca? Czy federalni lub AT & T powstrzymają Pageta przed manipulowaniem przez GSM? Czy zdenerwowany sprzedawca bankomatów uruchomi w ostatniej chwili prawne wyzwanie na rozmowę Barnaby'ego Jacka? Czy konkurs Inżynierii Społecznej Defcon sprawi, że ktoś z branży usług finansowych wydmuchnie uszczelkę? Czy rój pszczół zaatakuje basen na Riwierze? Kto wie, ale w Vegas, spodziewaj się niespodziewanego.

Robert McMillan zajmuje się bezpieczeństwem komputerowym i wiadomościami o najnowszej technologii dla IDG News Service. Obserwuj Roberta na Twitterze na @bobmcmillan. Adres e-mail Roberta to [email protected]