Mikko Hypponen: Fighting viruses, defending the net
Black Hat, sitä enemmän yritystilaisuutta ja epärehellistä sisarkonferenssia, Defcon, pidetään peräkkäin Las Vegasissa vuosittain. Tämän vuoden Black Hat -konferenssi on keskiviikkona ja torstaina. Defcon ajaa perjantaista sunnuntaihin.
Joten odota jotain kaaosta tällä viikolla Las Vegasiin. Odota joitakin yllätyksiä. Jos osallistut, odota krapulaa. Katso myös joitain mielenkiintoisia tietoturvatiedotuksia näistä aiheista:
1) ATM-jackpotin lyö
Tämän vuoden odotetuin puhe tulee Barnaby Jack, aiemmin Juniper Networks. Jack on ollut viime vuosina pelaamassa pankkiautomaatteja (automatisoituja pankkiautomaatteja) ja on valmis puhumaan joistakin tuotteistaan löydetyistä vikoista.
Black Hat -konferenssin johtaja Jeff Moss sanoo, että ATM-vikoja koskeva työ muistuttaa, että pankit ovat haavoittuvia - tai vaikka valmistajat paljastuisivat - mutta pankit ovat vihreän kenttä haavoittuvuuden tutkijoille. muutamia vuosia sitten ilmestyneestä äänestyskemitutkimuksesta, joka osoitti vakavia turvallisuusongelmia järjestelmissä ja aiheutti monia valtion virastoja uudelleenkäyttäessään tapaa, jolla he olivat käyttäneet e-äänestystä.
Jackin puhe on kiistanalainen. Juniper vetäytyi viimeisen viime vuoden Black Hat -konferenssin edetessä ATM-päättäjien pyynnöstä. Mutta nyt työtä uudelle yhtiölle, IOActive, Jack aikoo näyttää useita uusia tapoja hyökätä pankkiautomaatteihin, mukaan lukien etähyökkäykset. Hän kertoo myös, mitä hän kutsuu "multi-platform ATM rootkit" mukaan kuvauksen hänen puhetta.
"Olen aina pitänyt kohtauksen Terminator 2, jossa John Connor kävelee ATM, rajapinnat Hänen Atarinsa on kortinlukija ja hakee käteistä koneesta. "" Jack kirjoittaa kirjoituksessaan abstraktilla.
2) DNS
Noin kaksi viikkoa sitten ICANN puheenjohtajana toimi DNSSEC-avaimen ensimmäisessä kryptografisessa allekirjoituksessa. DNSSEC ei ole vielä laajalti tuettu, mutta ICANN toivoo, että allekirjoittamalla juurivyöhykkeen se kannustaa muita tukemaan protokollaa palvelimessa ja asiakasohjelmistossaan.
Kaminskyn kaltaiset tutkijat sanovat, että DNSSEC: n laaja käyttöönotto voisi hillitä koko joukon online-hyökkäyksistä. "Olemme tutkineet, miten DNSSEC aikoo käsitellä paitsi DNS-haavoittuvuuksia, mutta myös joitain keskeisistä haavoittuvuuksista, joita meillä on turvallisuudessa", Kaminsky sanoi haastattelussa. "Emme aio ratkaista kaikkia näitä ongelmia DNSSEC: n kanssa … mutta on olemassa koko DNSSEC-luokituksen tunnistushaavoittuvuus."
3) Mobile bugs
Vapauta Kraken! Tämä on juuri se, mitä GSM-turvallisuustutkijat tekevät Black Hatissa tänä vuonna, mikä voi viime kädessä olla tärkeä päänsärky Yhdysvaltojen ja Euroopan matkapuhelinoperaattoreille. Kraken on avoimen lähdekoodin GSM-krakkausohjelmisto, joka on juuri valmistunut. Yhdessä joidenkin erittäin optimoitujen sateenkaaritaulukoiden kanssa (koodiluettelot, jotka auttavat salauksen purkamista nopeuttamaan), se antaa hakkereille mahdollisuuden purkaa GSM-puhelut ja viestit.
Mikä Kraken ei tee, vetää puhelut pois ilmaa. Mutta on olemassa toinen GSM-haisteluprojekti - nimeltään AirProbe -, joka pyrkii tekemään sen todellisuudeksi. Näillä työkaluilla työskentelevät tutkijat sanovat haluavansa näyttää säännöllisiä käyttäjiä, mistä vakoojista ja tietoturvakreikoista on jo pitkään tiedossa: että A5 / 1-salausalgoritmi, jota käyttävät esimerkiksi T-Mobile ja AT & T ovat heikkoja, voidaan helposti rikki.
Mutta miksi rikkoa GSM-salaus, kun voit yksinkertaisesti huijata puhelimia liittymään fake basestation ja sitten pudota salaus? Chris Paget aikoo esitellä Las Vegasissa tällä viikolla, jossa hän sanoo kutsuvansa konferenssin osanottajia saadakseen puhelut kiinni. Pitäisi olla hauska demo, jos se on laillista. Paget luulee olevansa. Hän on myös kehittänyt mitä hän kutsuu "maailmanennätykseksi" RFID-tunnisteiden lukemiseen etäisyydellä - satoja metrejä - joista hän puhuu Black Hat -puhetta.
Toinen tutkija, joka tunnetaan vain nimellä The Grugq, puhuvat vahingollisten GSM-verkon tukiasemien ja komponenttien rakentamisesta mobiililaitteille. "Luota meihin, sinä haluat * sammuttaa puhelimesi tämän keskustelun keston ajan", puhujan kuvaus lukee.
Ja viikolla, joka käynnistettiin Citibankin myöntämällä, että se oli sekoittanut tietoturvansa iPhone-sovellus, toinen katsojan keskustelu on Lookout Securityn App Atttack, joka paljastaa epävarmuustekijät mobiilisovelluksissa.
4) Teollisuuden painajainen
Siemens sai tämän kuun maistetta siitä, millaista on vastata reaalimaailman SCADA (valvonta-valvonta ja tiedonhankinta) hyökkäys, kun joku vapautti hienostuneen madon, joka hyökkäsi Windows-pohjaisiin hallintajärjestelmiinsä. Mutta SCADA: n asiantuntijat sanovat, että Siemens oli vain epäonninen ja että tämäntyyppinen hyökkäys voisi helposti poistaa minkä tahansa yhtiön kilpailijoista. Itse asiassa on olemassa runsaasti tietoturvaongelmia, jotka vaikeuttavat teollisuuden valvontajärjestelmiä - niin monta, että he saavat omat raidansa Mustalla hatalla tänä vuonna.
Pollet kertoo, mistä nämä virheet näkyvät infrastruktuuri - hänen yrityksensä on kerännyt tietoja 38 000 haavoittuvuudesta - ja heille kirjoitetuista hyökkäyksistä. "Sinun ei tarvitse odottaa nollapäivän haavoittuvuuksia", hän sanoi.
5) Jokainen kortti!
Voiko Zero for Owned -ryhmä, joka hakkasi Dan Kaminskya ja muita edellisen viikon näyttelyn aattona? Tuleeko feds tai AT & T lopettaa Pagetin sekaantumisesta GSM: n kanssa? Tuleeko irvallinen ATM-toimittaja viimeisen minuutin oikeudellinen haaste Barnaby Jackin puheelle? Will Defconin Social Engineering-kilpailu aiheuttaa joku rahoituspalvelualalla räjäyttää tiivisteen? Ovatko mehiläisten joukko saastuttavat rannoilla sijaitsevaa uima-allasta? Kuka tietää, mutta Vegasissa odottaa odottamatonta.
Robert McMillan kattaa tietoturvan ja yleisen teknologian uutiset IDG News Service -palvelulle. Seuraa Robertin Twitterissä osoitteessa @bobmcmillan. Robertin sähköpostiosoite on [email protected]
Applen uudet MacBookit: mitä he saavat oikein ja mitä muuta haluamme
Missä Applein uudet MacBookit täyttävät hype, ja missä ne ovat lyhyitä?
Et voi päästä eroon kaikista tärkeistä papereista, mutta silppurilla ja skannerilla voit pienentää niitä kourallisiin. Tietenkin sinun on tiedettävä, mitä sinun pitää säilyttää, mitä sinun on tarkistettava, mitä sinun pitäisi pilata ja mitä voidaan turvallisesti heittää kierrätykseen.
Sinun pitää säilyttää alkuperäinen syntymä- ja kuolintodistus, passit ja muu kansalaisuus asiakirjat ja nykyinen tahto. Koska jotain kutsutaan
Mitä Black Hat, Grey Hat tai White Hat Hacker?
Miten määrität Black Hat Hackerin? Kuka on White Hat Hacker? Mikä on Gray Hat Hacker tai vihreä, sininen tai Red Hat Hacker. Hacker Hat värit selitetään.