Hackers And Feds In Las Vegas, Defcon and Blackhat
Black Hat, sự kiện công ty nhiều hơn, và hội nghị chị em bất hợp pháp của nó, Defcon, được tổ chức một sau mỗi khác ở Las Vegas. Hội nghị Black Hat năm nay là vào thứ Tư và thứ Năm. Defcon chạy từ thứ Sáu đến Chủ nhật.
Vì vậy, mong đợi một số sự hỗn loạn trong tuần này ở Las Vegas. Mong đợi một số điều bất ngờ. Nếu bạn đang tham dự, mong đợi một nôn nao. Nhưng cũng tìm kiếm một số câu chuyện bảo mật thú vị về các chủ đề này:
1) Đón Jackpot ATM
Cuộc trò chuyện được mong đợi nhất đến từ Barnaby Jack, trước đây là của Juniper Networks. Jack đã chơi đùa với máy ATM (máy rút tiền tự động) trong vài năm qua và sẵn sàng nói về một số lỗi mà anh ta tìm thấy trong các sản phẩm. Chúng ta vẫn chưa biết máy ATM của ai là dễ bị tổn thương - hoặc thậm chí nếu các nhà sản xuất sẽ được tiết lộ - nhưng máy ATM là một lĩnh vực màu xanh lá cây cho các nhà nghiên cứu dễ bị tổn thương.
Giám đốc hội nghị Black Hat Jeff Moss nói rằng công việc trên các lỗi ATM là gợi nhớ nghiên cứu về máy bỏ phiếu đã xuất hiện cách đây vài năm - cho thấy những lỗ hổng bảo mật nghiêm trọng trong các hệ thống và khiến nhiều cơ quan chính phủ suy nghĩ lại cách họ bỏ phiếu điện tử.
Cuộc nói chuyện của Jack gây tranh cãi. Juniper đã kéo nó vào phút chót trước hội nghị Black Hat năm ngoái, theo yêu cầu của các nhà sản xuất ATM. Nhưng bây giờ làm việc cho một công ty mới, IOActive, Jack có kế hoạch để hiển thị một số cách thức mới để tấn công các máy ATM, bao gồm các cuộc tấn công từ xa. Ông cũng sẽ tiết lộ những gì ông gọi là "rootkit ATM đa nền tảng", theo mô tả của bài nói chuyện của mình.
"Tôi luôn thích cảnh trong 'Terminator 2', nơi John Connor đi tới máy ATM, giao diện Atari của anh ấy cho người đọc thẻ và lấy tiền từ máy. Tôi nghĩ rằng tôi đã có đứa trẻ đánh bại, "Jack viết trong trừu tượng của mình.
2) DNS
Khoảng hai tuần trước, ICANN chủ trì ký mã hóa đầu tiên của một máy chủ gốc với một khóa DNSSEC. DNSSEC chưa được hỗ trợ rộng rãi, nhưng ICANN hy vọng rằng bằng cách ký một vùng gốc, nó sẽ thúc đẩy người khác hỗ trợ giao thức trong phần mềm máy chủ và máy khách của họ.
Các nhà nghiên cứu như Kaminsky nói rằng việc áp dụng rộng rãi DNSSEC có thể hạn chế toàn bộ nhóm các cuộc tấn công trực tuyến. "Chúng tôi đã xem xét cách DNSSEC sẽ giải quyết không chỉ các lỗ hổng DNS, mà còn một số lỗ hổng cốt lõi mà chúng tôi có trong bảo mật", Kaminsky cho biết trong một cuộc phỏng vấn. "Chúng tôi sẽ không giải quyết tất cả những vấn đề đó với DNSSEC … nhưng có một lớp toàn bộ các lỗ hổng xác thực mà DNSSEC thực hiện."
3) Lỗi di động
Giải phóng Kraken! Đó chỉ là những gì các nhà nghiên cứu bảo mật GSM sẽ làm tại Black Hat trong năm nay, trong đó cuối cùng có thể trở thành một nhức đầu lớn cho các nhà khai thác mạng di động Mỹ và châu Âu. Kraken là phần mềm bẻ khóa GSM nguồn mở mới được hoàn thành. Kết hợp với một số bảng cầu vồng được tối ưu hóa cao (danh sách các mã giúp tăng tốc quá trình bẻ khóa), nó cung cấp cho tin tặc một cách để giải mã các cuộc gọi và tin nhắn GSM.
Những gì Kraken không làm là kéo các cuộc gọi ra khỏi không khí. Nhưng có một dự án phát hiện GSM khác - được gọi là AirProbe - đó là tìm cách biến nó thành hiện thực. Các nhà nghiên cứu làm việc trên những công cụ này nói rằng họ muốn hiển thị những người dùng thường xuyên những điệp viên và chuyên viên bảo mật đã biết từ lâu: rằng thuật toán mã hóa A5 / 1 được sử dụng bởi các nhà cung cấp dịch vụ như T-Mobile và AT & T rất yếu và có thể dễ dàng bị hỏng.
Nhưng tại sao lại phá vỡ mã hóa GSM khi bạn chỉ có thể lừa điện thoại kết nối với một cơ sở giả mạo và sau đó thả mã hóa? Đó là những gì Chris Paget lên kế hoạch giới thiệu ở Las Vegas tuần này, nơi anh ta nói anh ta sẽ mời những người tham dự hội nghị để chặn cuộc gọi của họ. Nên là một bản demo thú vị, nếu nó hợp pháp. Paget nghĩ rằng nó là. Ông cũng đã phát triển cái mà ông gọi là "kỷ lục thế giới" để đọc các thẻ RFID ở khoảng cách - hàng trăm mét - mà ông sẽ thảo luận tại cuộc trò chuyện của Black Hat.
Một nhà nghiên cứu khác, chỉ được biết đến với cái tên The Grugq, sẽ nói về việc xây dựng các trạm và thành phần cơ sở mạng GSM độc hại trên thiết bị di động. "Tin tưởng chúng tôi, bạn sẽ * muốn * để tắt điện thoại của bạn trong suốt thời gian của cuộc nói chuyện này," mô tả của cuộc nói chuyện đọc.
Và trong một tuần đã được bắt đầu với việc nhập học của Citibank rằng nó đã sai lầm an ninh trên nó Ứng dụng iPhone, một cuộc nói chuyện khác để xem sẽ là "App Atttack" của Lookout Security, sẽ làm sáng tỏ sự bất an trong các ứng dụng di động.
4) Cơn ác mộng công nghiệp
Siemens có một hương vị trong tháng này SCADA thực tế (kiểm soát giám sát và thu thập dữ liệu) tấn công, khi ai đó tung ra một con sâu tinh vi tấn công các hệ thống quản lý dựa trên Windows của nó. Nhưng các chuyên gia của SCADA nói rằng Siemens không may mắn, và kiểu tấn công này có thể dễ dàng hạ gục bất kỳ đối thủ cạnh tranh nào của công ty. Trên thực tế, có rất nhiều vấn đề về bảo mật gây rắc rối cho hệ thống kiểm soát công nghiệp - rất nhiều người trong số họ đang theo dõi chiếc mũ đen của mình trong năm nay.
cơ sở hạ tầng - công ty của ông đã thu thập dữ liệu về 38.000 lỗ hổng - và các loại khai thác đã được viết cho họ. "Bạn không cần phải chờ đợi các lỗ hổng trong ngày", ông nói. "Đã có rất nhiều khai thác ở đó."
5) Ký tự đại diện!
Liệu số không cho nhóm sở hữu, người đã tấn công Dan Kaminsky và những người khác vào đêm trước của sự trở lại của tuần trước? Liệu các feds hoặc AT & T có dừng Paget khỏi gây rối với GSM? Liệu một nhà cung cấp ATM có trách nhiệm sẽ khởi động một thách thức pháp lý vào phút chót cho cuộc nói chuyện của Barnaby Jack? Cuộc thi Kỹ thuật Xã hội của Defcon sẽ khiến ai đó trong ngành công nghiệp dịch vụ tài chính thổi một miếng đệm? Sẽ có một đàn ong xâm nhập vào hồ bơi ở Riviera? Ai biết, nhưng ở Vegas, mong đợi những điều bất ngờ.
Robert McMillan bao gồm bảo mật máy tính và tin tức công nghệ chung cho The IDG News Service. Theo dõi Robert trên Twitter tại @bobmcmillan. Địa chỉ email của Robert là [email protected]
Khoảng 40 phần trăm doanh thu của Sun đến từ các công ty ở Mỹ. Michael Lehman, giám đốc tài chính của Sun cho biết: "Các khách hàng chủ yếu là trong ngành viễn thông, dịch vụ tài chính và các cơ quan chính phủ, tất cả đều bị ảnh hưởng bởi những khó khăn tài chính hiện tại. Bộ trưởng Tài chính Mỹ Henry M. Paulson thông báo các gói cứu trợ của các tổ chức tài chính sẽ ảnh hưởng đến nhu cầu về các sản phẩm công nghệ thông tin. Theo ông Lehman, "thay vì 100 triệu USD sản phẩm, Schwartz hy
Sun vẫn đang giảm số lượng nhân viên và sẽ giảm xuống còn 33.000 công nhân vào cuối năm tài chính 2009.
Tin tức an ninh chiếm ưu thế trong tuần này, và điều đó chắc chắn sẽ là trường hợp vào tuần tới, với các hội nghị Black Hat và Defcon đang diễn ra tại Las Vegas. Trong các tin tức khác, các cổ đông của Yahoo đã gặp nhau vào Thứ Sáu trong cuộc họp thường niên, với ít pháo hoa hơn dự kiến.
1. Các bản vá lỗi DNS gây ra vấn đề, các nhà phát triển thừa nhận: Các lỗ hổng cho lỗ hổng DNS (Domain Name System) đã tạo ra rất nhiều buzz đã dẫn đến các vấn đề về hiệu suất cho các máy chủ chạy phần mềm BIND (Berkeley Internet Name Domain). BIND là phần mềm DNS phổ biến nhất. Các nhà quản trị viên không nên quay lại bản vá phát hành ngày 8 tháng 7, ông Paul Vixie, người đứng đầu Internet Systems Consortium, giám sát BIND, nói. "Các lỗ hổng là mối quan tâm nhiều hơn một máy chủ chậm," ông nói.
Mạng lưới điện toán được xây dựng để đưa dữ liệu từ Máy Va chạm Hadron Lớn cho các nhà khoa học trên khắp thế giới cũng đang được sử dụng để tăng tốc độ phát triển các loại thuốc cứu hộ và tìm ra nguyên nhân của sự thay đổi khí hậu, Các nhà khoa học thuộc Tổ chức Nghiên cứu Hạt nhân Châu Âu (CERN) đã cùng với các đồng nghiệp của họ tại Bắc Mỹ và Châu Á thông qua liên kết video trực tuyến hôm thứ 6, nói rằng lưới điện đã sẵn sàng hành động khi các thí nghiệm hạt nhân hạt nhân tiếp tục tại CERN và
Nhưng họ nhấn mạnh rằng lưới điện đã được sử dụng cho các dự án khác. Một phần ba các thí nghiệm được thực hiện ngày hôm nay là trong các lĩnh vực phi vật lý, bao gồm khoa học đời sống và kỹ thuật y sinh học. Họ nói rằng lưới điện đang được sử dụng để mô phỏng có thể đẩy nhanh việc phát triển các loại thuốc mới cho bệnh sốt rét, cúm gia cầm và HIV / AIDS.