ŠTo gledati u Black Hat i Defcon

Pokušaj predviđanja velikih vijesti na konferencijama Black Hat i Defcon ovog tjedna iznimno je lukav, ako ne i nemoguć. Obično najzanimljivije priče pojavljuju se u posljednjoj minuti - hakeri se skloni otkriti stvarno velike razgovore jer ne žele da ih odvratni odvratni odvjetnici zatvore. Čak i kada mislite da znate što se događa, ponekad se jedna od predstave povlači na središnju pozornicu, kao što je Defcon učinio prije tri godine kada je novinarka Dateline NBC Michelle Madigan izašla iz konferencije zbog pokušaja potajno snimanja filmskih sudionika.

Black Hat, korporativni događaj i njezina neustrašiva sestra konferencija, Defcon, održavaju se jedna za drugom svake godine u Las Vegasu. Ovogodišnja konferencija Black Hata održana je u srijedu i četvrtak. Defcon traje od petka do nedjelje.

Dakle, očekujte malo kaosa ovog tjedna u Las Vegasu. Očekujte neka iznenađenja. Ako pohađate, očekujte mamurluk. Ali pogledajte i neke zanimljive sigurnosne priče o ovim temama:

[Dodatno čitanje: Kako ukloniti zlonamjerni softver s računala sa sustavom Windows]

1) Udaranje bankovnog Jackpota

Ovogodišnji najvjerojatniji razgovor dolazi od Barnaby Jack, nekad Juniper Networks. Jack se posljednjih godina zabavlja s bankomatima (automatizirani bankroteri) i spreman je razgovarati o nekim bugovima koje je našao u proizvodima. Još ne znamo čije bankomate su ranjive - ili čak i ako će proizvođači biti otkriveni - ali bankomati su zeleno polje za istraživače ranjivosti.

Redatelj Black Hat konferencije Jeff Moss kaže kako rad na ATM bankama podsjeća na istraživanje glasačkih strojeva koje je izašlo prije nekoliko godina - što je pokazalo ozbiljne sigurnosne ranjivosti u sustavima i izazvalo mnoge državne agencije da razmisle o načinu na koji su e-glasovali.

Jackova diskusija je kontroverzna. Juniper ju je izvukao u posljednjem trenutku prije prošlogodišnje konferencije Black Hat na zahtjev bankomata. Ali sada radi za novu tvrtku, IOActive, Jack planira prikazati nekoliko novih načina napadanja bankomata, uključujući daljinske napade. On će također otkriti ono što on naziva "multiplatformni ATM korijen", prema opisu svog govora.

"Uvijek sam volio prizor u 'Terminator 2' gdje John Connor hoda do bankomata, sučelja njegov Atari do čitača kartica i dohvaća gotovinu iz stroja, mislim da je taj klinac pobijedio ", napisao je Jack u svom sažetku.

2) DNS

Prije dvije godine Dan Kaminsky je naslovio svjetske stranice otkrićem pogreška u sustavu DNS (Domain Name System) koji se koristi za traženje adresa računala na Internetu. Ove godine Kaminsky ponovno govori u Black Hatu - ovaj put na Web sigurnosnim alatima. Ali on je također prisiljen sudjelovati na tiskovnoj konferenciji gdje će on i predstavnici ICANN-a (Internet Corporation za pridružena imena i brojeve) i VeriSign raspravljati o DNSSEC-u - novi način obavljanja DNS-a koji osigurava razinu povjerenja da su računala povezana s internetom ono što zapravo tvrde da su.

Prije otprilike dva tjedna, ICANN je predsjedao prvim kriptografskim potpisivanjem root poslužitelja s ključem DNSSEC. DNSSEC još uvijek nije široko podržan, ali ICANN se nada da će potpisivanjem korijenske zone potaknuti druge da podrže protokol u svom poslužiteljskom i klijentskom softveru.

Istraživači poput Kaminskog kažu da bi široko prihvaćanje DNSSEC-a moglo zaustaviti cijelu hrpu online napada. "Pregledali smo kako će DNSSEC riješiti ne samo DNS ranjivosti, već neke od temeljnih ranjivosti koje imamo u sigurnosti", rekao je Kaminsky u intervjuu. "Nećemo riješiti sve te probleme s DNSSEC-om … ali postoji čitava razina ranjivosti autentičnosti koju DNSSEC rješava."

3) Mobilni bugovi

Oslobodite Kraken! To je upravo ono što će istraživači GSM sigurnosnih tehnologija ove godine raditi na Black Hatu, što bi u konačnici moglo postati glavna glavobolja za američke i europske mobilne operatere. Kraken je softver otvorenog koda koji se upravo završava. U kombinaciji s nekim visoko optimiziran duginim tablicama (popise kodova koji pomažu ubrzati proces enkripcije-razbijanje), daje hakerima način za dekriptiranje GSM pozive i poruke.

Što Kraken ne učiniti je povući pozive iz kategorije zrak. Ali postoji još jedan GSM-njuškanje projekt - zvan AirProbe - koji je u potrazi za to da stvarnost. Znanstvenici koji rade na tim alatima kažu da žele pokazati redovite korisnike koji špijuni i sigurnosne štreberi su poznati za dugo vremena: da je A5 / 1 enkripcijski algoritam koristi prijevoznicima kao što su T-Mobile i AT & T je slaba, a može biti lako slomljena.

Ali zašto razbiti GSM šifriranje kada jednostavno možete prevariti telefone u povezivanje s lažnom bazom, a zatim slati šifriranje? To je upravo ono što Chris Paget planira demo u Las Vegasu ovog tjedna, gdje kaže da će pozvati sudionike na konferenciji da se pozivi presreću. Trebao bi biti zabavan demo, ako je legalan. Paget misli da jest. Razvio je i ono što on naziva "svjetskim rekordom" za čitanje RFID oznaka na udaljenosti - stotine metara - o čemu će razgovarati na Black Hatovom razgovoru.

Još jedan istraživač, poznat samo kao The Grugq, razgovarati o izgradnji zlonamjernih GSM baznih stanica i komponenti na mobilnim uređajima. "Pouzdajte se, trebat ćete * isključiti telefon tijekom trajanja ovog razgovora", čita opis govora.

I tjedan dana koji je započeo s prijamom Citibanke da je zabrljala sigurnost na svom iPhone app, još jedan razgovor gledati će biti vidikovcu Sigurnost je „App Atttack”, koji će rasvijetliti nesigurnosti u mobilnim aplikacijama.

4) Industrijski noćna mora

Siemens dobio okus ovog mjeseca kako je odgovoriti na SCADA (nadzorni nadzor i prikupljanje podataka) u stvarnom vremenu, kada je netko oslobodio sofisticirani crv koji napada svoje Windows sustave upravljanja. No, SCADA stručnjaci kažu da je Siemens bio samo nesretan i da bi takav tip lako mogao skinuti bilo koji od konkurenata tvrtke. U stvari, postoji dosta sigurnosnih problema koji štete industrijskim sustavima kontrole - toliko da dobivaju vlastitu pratnju na Black hatu ove godine.

Tijekom proteklih 10 godina Jonathan Pollet, osnivač tvrtke Red Tiger Security, pokrenuo je sigurnosne procjene na više od 120 SCADA sustava, a on će govoriti o tome gdje će najvjerojatnije doći do sigurnosnih propusta. Pollet kaže da su mnoge mreže razvile neku vrstu ljudske zemlje između IT i industrijskih sustava - računala koja su često izložena riziku, jer nitko zaista ne čini potpunim vlasništvom nad njima.

Pollet će govoriti o tome gdje se ove greške pojavljuju u infrastruktura - njegova je tvrtka prikupila podatke o 38.000 ranjivosti - i vrstu iskorištavanja koja su za njih pisana. "Ne morate čekati nultog dana ranjivosti", rekao je. "Postoji već mnogo eksploatacija."

5) Zamjenski znak!

Hoće li Zero for Owned skupina, koja je srušila Dan Kaminsky i druge uoči prošlog tjedna? Hoće li Federalci ili AT & T zaustaviti Paget od zabrljati s GSM? Hoće li iritirani dobavljač ATM-a pokrenuti zadnji trenutak pravni izazov Barnaby Jackovom razgovoru? Natječaj za socijalni inženjering Will Defcon izazvao nekoga u industriji financijskih usluga da puhne brtvilo? Hoće li pčele zarobiti bazen na Rivijeri? Tko zna, ali u Vegasu, očekujte neočekivano.

Robert McMillan pokriva informatičku sigurnost i opću tehnološku vijest za IDG News Service. Slijedite Roberta na Twitteru @ bobmcmillan. Robertova adresa e-pošte je [email protected]