ما يجب مشاهدته في Black Hat و Defcon

إن محاولة التنبؤ بالأخبار المهمة في مؤتمرات Black Hat و Defcon هذا الأسبوع هي أمر صعب للغاية ، إن لم يكن مستحيلاً. عادةً ما تظهر أكثر القصص إثارة للاهتمام في اللحظة الأخيرة - يميل المتسللون إلى التوقف عن الكشف عن المحادثات الكبيرة حقاً لأنهم لا يريدون أن يغلقهم المحامون المتشددون. وحتى عندما تعتقد أنك تعرف ما يحدث ، فإن أحد العروض يتقدم في بعض الأحيان ليحتل مركز الصدارة ، كما فعل ديفكون قبل ثلاث سنوات عندما تم استبعاد مراسلة صحيفة ديلاين إن بي سي ميشيل ماديجان من المؤتمر لمحاولة عرض المشاركين في المعرض سراً.

بلاك هات ، الحدث الأكثر نشاطًا ، والمؤتمر الشرير غير المنضبط ، ديفكون ، يعقد واحدا تلو الآخر كل عام في لاس فيغاس. مؤتمر Black Hat لهذا العام سيكون يومي الأربعاء والخميس. ديفكن يجري من الجمعة إلى الأحد.

لذا ، نتوقع بعض الفوضى هذا الأسبوع في لاس فيغاس. نتوقع بعض المفاجآت. إذا كنت تحضر ، فتوقع مخلفات. ولكن أيضًا ابحث عن بعض القصص الأمنية المثيرة للاهتمام حول هذه الموضوعات:

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز الكمبيوتر الذي يعمل بنظام تشغيل Windows]

1) الحصول على جائزة ATM Jackpot

نقاش هذا العام الأكثر ترقباً يأتي من بارنابي جاك ، سابقا من جونيبر نتوركس. وقد كان جاك يتعامل مع أجهزة الصراف الآلي (ATMs) في السنوات القليلة الماضية ، وهو على استعداد للحديث عن بعض الخلل التي وجدها في المنتجات. لا نعرف بعد أي من أجهزة الصراف الآلي الخاصة بهم معرضة للخطر - أو حتى لو تم الكشف عن الشركات المصنعة - ولكن أجهزة الصراف الآلي هي مجال أخضر لباحثي الضعف.

مدير مؤتمر القبعة السوداء جيف موس يقول أن العمل على البق ATM يذكرنا البحث عن آلة التصويت التي ظهرت قبل بضع سنوات - والتي أظهرت نقاط ضعف أمنية خطيرة في الأنظمة وتسببت في إعادة التفكير في العديد من الوكالات الحكومية بالطريقة التي كانت تجري بها التصويت الإلكتروني.

حديث جاك مثير للجدل. سحبت جونيبر في اللحظة الأخيرة قبل مؤتمر بلاك هات في العام الماضي ، بناء على طلب من صانعي أجهزة الصراف الآلي. ولكن في الوقت الحالي يعمل جاك في شركة جديدة ، IOActive ، ويخطط جاك لإظهار عدة طرق جديدة للهجوم على أجهزة الصراف الآلي ، بما في ذلك الهجمات عن بعد. كما سيكشف عن ما يسميه "جذر ATM متعدد المنصات" ، وفقا لوصف حديثه.

"لقد أحببت المشهد في" تيرميناتور 2 "حيث يسير جون كونور إلى ماكينة الصراف الآلي ، واجهات "أتاري إلى قارئ البطاقات واسترداد النقود من الجهاز. أعتقد أنني قد حصلت على هذا الطفل للفوز" ، يكتب جاك في مجرّده.

2) DNS

قبل عامين ، نشر دان كامينسكي عناوين الصحف في جميع أنحاء العالم بالكشف عن عيب في DNS (نظام اسم المجال) يستخدم للبحث عن عناوين أجهزة الكمبيوتر على الإنترنت. هذا العام ، يتحدث كامينسكي مرة أخرى في Black Hat - هذه المرة على أدوات أمان الويب. ولكن تم استغلاله أيضًا للمشاركة في مؤتمر صحفي حيث سيناقش هو وممثلون من ICANN (مؤسسة الإنترنت للأسماء والأرقام المخصصة) و VeriSign امتدادات أمان نظام أسماء النطاقات (DNSSEC) - طريقة جديدة لعمل DNS توفر مستوى من الثقة في أن أجهزة الكمبيوتر المتصلة بالإنترنت هي ما يدعي أنها بالفعل.

قبل نحو أسبوعين ، ترأست ICANN أول توقيع تشفير لخادم الجذر باستخدام مفتاح DNSSEC. DNSSEC ليس مدعومًا على نطاق واسع بعد ، ولكن ICANN تأمل في أن يؤدي ذلك من خلال التوقيع على منطقة الجذر ، إلى حث الآخرين على دعم البروتوكول في برنامج الخادم والعميل.

يقول الباحثون مثل Kaminsky إن تبني DNSSEC على نطاق واسع قد يؤدي إلى كبح مجموعة كاملة من الهجمات عبر الإنترنت. وقال كامينسكي في مقابلة "نحن ننظر في كيفية معالجة DNSSEC ليس فقط نقاط ضعف DNS ، ولكن بعض نقاط الضعف الأساسية لدينا في الأمن". "لن نحل كل هذه المشاكل مع DNSSEC … ولكن هناك فئة كاملة من ثغرات المصادقة التي يعالجها DNSSEC."

3) البق المحمول

إطلاق العنان لكراكين! هذا فقط ما سيفعله باحثو أمن GSM في Black Hat هذا العام ، في ما قد يصبح في نهاية المطاف مصدرًا رئيسيًا لمشغلي شبكات الهاتف المحمول في الولايات المتحدة وأوروبا. كراكن هو برنامج تكسير GSM مفتوح المصدر تم الانتهاء منه للتو. جنبا إلى جنب مع بعض الجداول قوس قزح الأمثل (قوائم من الرموز التي تساعد على تسريع عملية كسر التشفير) ، فإنه يعطي المتسللين وسيلة لفك تشفير المكالمات والرسائل GSM.

ما لا يفعله كراكن هو سحب المكالمات من الهواء. ولكن هناك مشروع آخر لتتبع الشبكات GSM - يسمى AirProbe - والذي يتطلع إلى تحقيق ذلك. يقول الباحثون الذين يعملون على هذه الأدوات إنهم يريدون إظهار المستخدمين المنتظمين ما عرفه جواسيس ومهوسون الأمان لفترة طويلة: أن خوارزمية التشفير A5 / 1 المستخدمة من قبل شركات الاتصالات مثل T-Mobile و AT & T ضعيفة ، ويمكن بسهولة

ولكن لماذا كسر التشفير GSM عندما يمكنك ببساطة خداع الهواتف للاتصال مع قاعدة وهمية ومن ثم إسقاط التشفير؟ هذا ما يعتزم كريس بيجيت عرضه في لاس فيغاس هذا الأسبوع ، حيث يقول إنه سيدعو الحاضرين في المؤتمر إلى اعتراض مكالماتهم. يجب أن يكون عرضًا توضيحيًا ممتعًا ، إذا كان قانونيًا. باجيت يعتقد أنها. كما طور ما يسميه "الرقم القياسي العالمي" لقراءة علامات RFID على مسافة - مئات الأمتار - والتي سوف يناقشها في حديث Black Hat.

باحث آخر ، معروف فقط باسم The Grugq ، سوف نتحدث عن بناء محطات قاعدة ومكونات الشبكة الخبيثة GSM على الأجهزة المحمولة. "ثق بنا ، سوف * تريد * لإيقاف تشغيل هاتفك طوال مدة هذا الحديث" ، يقرأ وصف الحديث.

وفي أسبوع تم إطلاقه مع اعتراف سيتي بنك بأنه قد أفسد الأمان على تطبيق الآيفون ، سيكون هناك حديث آخر للمشاهدة هو "App Atttack" من Lookout Security ، والذي سيلقي الضوء على انعدام الأمن في التطبيقات النقالة.

4) كابوس صناعي

حصلت شركة Siemens على طعم هذا الشهر حول ما يشبه الرد على في الواقع ، يهاجم نظام SCADA (المراقبة الإشرافية وحيازة البيانات) عندما يطلق أحدهم دودة متطورة يهاجم أنظمة الإدارة المستندة إلى Windows. لكن خبراء SCADA يقولون أن شركة Siemens كانت غير محظوظة ، وأن هذا النوع من الهجمات كان من الممكن بسهولة أن يزيل أي من منافسي الشركة. في الواقع ، هناك الكثير من المشاكل الأمنية التي تعصف بأنظمة التحكم الصناعية - الكثير منهم يحصلون على مسارهم الخاص على قبعة سوداء هذا العام.

على مدى السنوات العشر الماضية ، جوناثان بوليت ، مؤسس شركة Red Tiger Security ، قام بتقييم الأمان على أكثر من 120 نظامًا SCADA ، وسيتحدث عن الأماكن التي يُرجح أن تبرز فيها نقاط الضعف الأمنية. يقول بوليت أن العديد من الشبكات طورت نوعًا من الأرض غير المحصورة بين تكنولوجيا المعلومات والأنظمة الصناعية - أجهزة الكمبيوتر التي غالباً ما تكون معرضة للخطر لأنه لا يبدو أن أحدًا سيحصل على ملكية كاملة لها.

سوف يتحدث بوليت عن مكان ظهور هذه الحشرات في البنية التحتية - جمعت شركته بيانات حول 38000 نقطة ضعف - وأنواع المآثر التي تمت كتابتها لهم. وقال "لا يتعين عليك الانتظار لضعف يوم الصفر". "هناك بالفعل الكثير من الاستغلال هناك."

5) Wildcard!

هل ستقوم مجموعة Zero for Owned ، التي اخترقت Dan Kaminsky وغيرهم عشية عرض الأسبوع الماضي بالعودة؟ هل سيوقف feds أو AT & T Paget من العبث بـ GSM؟ هل سيطلق بائع ماكينات الصراف الآلي الغاضب تحديًا قانونيًا في اللحظة الأخيرة لحديث بارنابي جاك؟ هل ستسبب مسابقة الهندسة الاجتماعية لشركة Defcon في صناعة الخدمات المالية لتفجير طوقا؟ هل سيلقى سرب من النحل على حمام السباحة في الريفييرا؟ من يدري ، ولكن في فيغاس ، نتوقع ما هو غير متوقع.

روبرت ماكميلان يغطي أمن الكمبيوتر والتكنولوجيا العامة الأخبار العاجلة لخدمة IDG الإخبارية. اتبع روبرت على تويتر علىbobmcmillan. عنوان البريد الإلكتروني الخاص بـ Robert هو [email protected]