Labās un drausmīgās lietas pie melnās cepures 2016

Melnā cepure ir drošības pētnieku, hakeru un nozares pārstāvju sapulce, kas tiekas Lasvegasā, lai veiktu trīs lietas: ieskicētu jaunākos draudus, parādītu, kā var uzvarēt labos un sliktos puišus, un sāk uzbrukumus dalībniekiem. Šogad notika daudz biedējošu uzbrukumu, tostarp viens pret šova dalībniekiem, kā arī automašīnu uzlaušana, jauni veidi, kā nozagt skaidru naudu bankomātos, un kāpēc viedās spuldzes varētu nebūt tik drošas, kā mēs domājām. Bet mēs redzējām arī daudz cerību, piemēram, mācību mašīnas bīstamu serveru atrašanai, Dungeons un Dragons izmantošanu, lai apmācītu darbiniekus rīkoties ar drošības draudiem, kā arī tas, kā Apple rīkojas ar jūsu iPhone drošību. Tas viss, kā teikts, bija diezgan prātu mīlošs gads.

Labais

Jā, Apple paziņoja par kļūdu novēršanas programmu Black Hat. Bet tas bija tikai pēdējās 10 minūtes no Apple drošības tehnikas un arhitektūras vadītāja Ivana Krstiča uzstāšanās. Iepriekšējo 40 minūšu laikā viņš piedāvāja vēl nepieredzētu dziļu ienirt veidos, kā Apple aizsargā lietotāju ierīces un datus gan no ļaundariem, gan no sevis. Jā, tas nozīmē, ka jālieto godīgs blenderis.

Tā kā lietiskā interneta ierīces kļūst aizvien populārākas, drošības profesionāļi kļūst arvien satraucošāki. Galu galā tās ir ierīces ar mikrodatoriem, kas savienoti ar tīkliem un pilnībā spēj darbināt kodu. Tas ir uzbrucēja sapnis. Labās ziņas ir vismaz Philip's Hue sistēmas gadījumā, lai izveidotu tārpu, lai pārietu no spuldzes uz spuldzi, un tas ir ļoti grūti. Sliktas ziņas? Acīmredzot ir ļoti vienkārši pievilināt Hue sistēmas pievienoties uzbrucēja tīklam.

Katrā drošības apmācībā katrā uzņēmumā ir ietverts brīdinājums, ka darbiniekiem nekad nevajadzētu noklikšķināt uz saitēm e-pastos no nezināmiem avotiem. Un darbinieki joprojām tiek mudināti noklikšķināt uz viņiem neatkarīgi. Dr Zinaida Benenson no Erlangen-Nirnbergas universitātes secināja, ka vienkārši nav pamatoti gaidīt, ka darbinieki izturēsies pret zinātkāri un citām motivācijām. Ja vēlaties, lai viņi būtu Džeimss Bonds, jums tas jāievieto amata aprakstā un attiecīgi viņiem jāmaksā.

Daudz drošības izpētes un izpildes var būt nogurdinošs, taču jaunas tehnikas mašīnmācībā drīz var radīt drošāku internetu. Pētnieki detalizēti aprakstīja centienus mācību mašīnās identificēt robottīklu komandu un vadības serverus, kas ļaunajiem zēniem ļauj kontrolēt simtiem tūkstošu (ja ne miljoniem) inficētu datoru. Šis rīks varētu palīdzēt noturēt uzmanību uz šādām nožēlojamām darbībām, taču tas nebija viss smagais pētījums. Sesijas noslēgumā pētnieki demonstrēja, kā mašīnmācīšanās sistēmas varētu izmantot, lai ģenerētu caurspīdīgu Teilores Sviftas dziesmu.

Viesnīcu tīkls, kas zina, var būt labs par konferenci par mājdzīvnieku piegādi, bet ne par Black Hat. Konferencei ir savs pilnīgi atsevišķs tīkls un iespaidīgs tīkla operāciju centrs, lai to pārvaldītu. Apmeklētāji var ieraudzīties caur stikla sienu pie daudzajiem kvēlojošajiem ekrāniem, hakeru filmām un ilgtermiņa drošības ekspertiem NOC, kas pilnībā tiek iesaiņots un pārcēlies visā pasaulē uz nākamo Black Hat konferenci.

IT drošības problēmas un hackeri vienkārši nevar iegūt pietiekami daudz drošības apmācības, taču viņi nav tie, kas viņiem patiešām nepieciešami. Pārdošanas personāls, personāla komanda un zvanu centra personāls ne vienmēr saprot un novērtē drošības apmācību, un tomēr jums viņi ir nepieciešami, lai pastiprinātu savu drošības spēli. Pētnieks Tiphaine Romand Latapie ieteica pārstrādāt drošības apmācību kā lomu spēli. Viņa atklāja, ka tas pilnībā darbojas un rada ievērojamu jaunu iesaistīšanos starp drošības komandu un pārējo personālu. Dungeons un pūķi, kāds?

Scam tālruņa zvans ir milzīga problēma. IRS izkrāpšana pārliecina nenojaušamos amerikāņus dakšot naudu. Paroles atiestatīšana izkrāpšanas nolūkos izaicina zvanu centrus par klientu datu atdošanu. Tiesu medicīnas valodniece profesore Džūdita Tabrona analizēja reālus krāpšanās zvanus un izstrādāja divdaļīgu pārbaudi, lai palīdzētu jums tos pamanīt. Lasiet šo un iemācieties, vai ne? Tā ir vienkārša un vērtīga tehnika.

Biedējoši

Pwnie Express konstruē ierīces, kas pārrauga tīkla gaisa telpu, lai redzētu neko nevēlamu, un tā ir arī laba lieta, jo uzņēmums šogad atklāja masīvu “Man-in-the-Middle” uzbrukumu Black Hat. Šajā gadījumā ļaunprātīgs piekļuves punkts mainīja savu SSID, lai maldinātu tālruņus un ierīces pievienoties tīklam, uzskatot, ka tas ir drošs, draudzīgs tīkls, kādu ierīce bija redzējusi iepriekš. To darot, uzbrucēji pievilināja aptuveni 35 000 cilvēku. Lai gan ir lieliski, ka uzņēmums spēja pamanīt uzbrukumu, fakts, ka tas bija tik milzīgs, atgādina, cik veiksmīgi var būt šie uzbrukumi.

Pagājušajā gadā Čārlijs Millers un Kriss Valaseks iepazīstināja ar to, ko daudzi uzskatīja par viņu hakeru karjeras virsotni. Viņi šogad atgriezās ar vēl drosmīgākiem uzbrukumiem - tādiem, kas spēj iedarbināt bremzes vai stūres rata kontroli, kad automašīna pārvietojas ar jebkuru ātrumu. Iepriekšējos uzbrukumus varēja veikt tikai tad, ja automašīna brauc ar ātrumu 5Mph vai zemāku. Šie jaunie uzbrukumi varētu radīt lielu risku autovadītājiem, un, cerams, tie ātri tiks izlaboti auto ražotājiem. No savas puses Valaseks un Millers teica, ka viņi ir izdarījuši hakeru automašīnas, bet mudināja citus sekot viņu pēdās.

Ja vērojat Robota kungu, jūs zināt, ka ir iespējams inficēt upura datoru, izlaižot USB diskdziņus ap stāvlaukumu. Bet vai tas tiešām darbojas? Elie Burštein, krāpšanas un ļaunprātīgas izmantošanas pētījumu vadība Google, iepazīstināja ar divdaļīgu sarunu par šo tēmu. Pirmajā daļā tika aprakstīts pētījums, kas skaidri parādīja, ka tas darbojas (un autostāvvietas ir labākas nekā gaiteņi). Otrajā daļā ļoti sīki izskaidrots, kā tieši izveidot USB diskdzini, kas pilnībā pārņemtu jebkuru datoru. Vai jūs izdarījāt piezīmes?

Droni bija karsta prece pēdējā svētku iepirkšanās sezonā, un varbūt ne tikai geeksiem. Prezentācijā tika parādīts, kā DJI Phantom 4 var izmantot rūpniecisko bezvadu tīklu bloķēšanai, darbinieku izspiegošanai un vēl ļaunāk. Viltība ir tā, ka daudzi kritiski nozīmīgi rūpniecības objekti sensitīvo datoru aizsardzībai izmanto tā saukto “gaisa spraugu”. Būtībā tie ir tīkli un ierīces, kas ir izolēti no ārējā interneta. Bet mazi, manevrējami droni to vietā var ienest internetu.

Mašīnmācība ir daudzu tehnoloģiju nozaru revolūcijas kulminācija, un tajā ietilpst arī krāpnieki. Melnās cepures pētnieki parādīja, kā mašīnas var iemācīt radīt ļoti efektīvus šķēpu pikšķerēšanas ziņojumus. Viņu rīks nosaka augstvērtīgus mērķus un pēc tam nokauj upura tweets, lai izveidotu ziņojumu, kas ir gan atbilstošs, gan neatvairāmi noklikšķināms. Komanda ar savu surogātpastu neizplatīja neko ļaunu, taču nav grūti iedomāties krāpniekus, kas izmanto šīs metodes.

Jūs sagaidāt bezmaksas Wi-Fi viesnīcā, un jūs, iespējams, būsit pietiekami gudrs, lai saprastu, ka tas ne vienmēr ir drošs. Bet, ja izmantojat Airbnb vai citu īstermiņa nomu, drošībai var būt visu laiku sliktākā drošība. Kāpēc? Tā kā viesiem pirms jums bija fiziska pieeja maršrutētājam, tas nozīmē, ka viņiem tas varēja pilnībā piederēt. Džeremija Galloway runā detalizēti aprakstīts, ko hakeris var darīt (tas ir slikti!), Ko jūs varat darīt, lai saglabātu drošību, un ko īpašnieks var darīt, lai atturētu no šādiem uzbrukumiem. Tā ir problēma, kas nepazūd.

Vienā no visaptverošākajām sarunām Black Hat, Rapid7 vecākais penters Weton Hecker parādīja, kas varētu būt jauns krāpšanas modelis. Viņa redzējumā ietilpst milzīgs kompromitētu bankomātu tīkls, tirdzniecības vietu mašīnas (piemēram, pārtikas preču veikalā) un gāzes sūkņi. Tie varētu nozagt upura maksājuma informāciju reāllaikā un pēc tam ātri ievadīt viņus, izmantojot motorizētu PIN nospiešanas ierīci. Saruna noslēdzās ar bankomātu, kas uzmeta skaidru naudu, un nākotnes redzējumu, kurā krāpnieki pērk nevis personu kredītkaršu informāciju, bet piekļuvi masveida reālā laika maksājumu krāpniecības tīklam.

Šī nebija vienīgā Black Hat prezentācija, kurā tika detalizēti aprakstīti uzbrukumi maksājumu sistēmām. Cita pētnieku grupa parādīja, kā viņi, izmantojot Raspberry Pi un ar nelielu piepūli, spēja pārtvert personiskās informācijas pārpilnību no mikroshēmu karšu darījumiem. Tas ir īpaši zīmīgi ne tikai tāpēc, ka čipkartes (AKA EMV kartes) tiek uzskatītas par drošākām nekā magswipe kartes, bet arī tāpēc, ka ASV ir tikko sākušas čipkaršu ieviešanu vietējā tirgū.

Nākamais gads ienesīs jaunus pētījumus, jaunus hacks un jaunus uzbrukumus. Bet Black Hat 2016 ir iestatījis gada signālu, parādot, ka hakeru darbs (neatkarīgi no tā, vai tas ir balts vai melns) nekad nav īsti veikts. Tagad, ja jūs atvainojaties, mēs sagrausim savas kredītkartes un dzīvosim Faraday būrī mežā.