Čierny klobúk 2017: najlepšie (a najdesivejšie) hacky

Konferencia Black Hat je príležitosťou pre vedcov, hackerov a kohokoľvek blízkeho sveta bezpečnosti, aby sa zhromažďovali a učili sa jeden od druhého. Je to týždeň sedení, školení a - nevyhnutne - niektorých zlých rozhodnutí vo väčšej oblasti Las Vegas.

Vo svojom 20. roku začal Black Hat 2017 reflexnou notou. Alex Stamos, CSO Facebooku, sa obzrel späť na svoje prvé dni na konferencii. Pre neho to bolo miesto, ktoré bolo možné prijať a učiť sa od komunity. Vyzval tú istú komunitu, aby bola viac empatická a aby sa pripravila na ďalšiu generáciu hackerov privítaním väčšej rozmanitosti.

Stretnutia Black Hat boli vždy miestom, kde si môžete prezrieť prekvapivé a niekedy desivé príklady bezpečnostného výskumu. Tento rok sme videli, ako oklamať webové rozhranie Apple Pay, ako zvrhnúť hoverboard pomocou ultrazvuku a dozvedieť sa, aké zraniteľné veterné farmy môžu byť pri kybernetickom útoku.

Jedno zasadnutie prinieslo návrat trojice hackerov Tesla Model S, ktorí predviedli nové útoky. Ich výskum bude určite pokračovať, keď budú vozidlá viac prepojené. Tiež veľký cieľ hackerov? Tlačiarní.

Ďalšia pozoruhodná prednáška sa zamerala na útok priemyselnej infraštruktúry. S dvoma úspešnými útokmi proti ukrajinskej energetickej sieti v minulom roku je zabezpečenie kritickej infraštruktúry, ako sú elektrárne a továrne, hlavnou otázkou. Tentokrát sme videli, ako môžu byť bubliny - áno, bežné bubliny - použité ako škodlivé užitočné zaťaženie na zničenie drahých kritických čerpadiel.

Možno najvýznamnejším úspechom tohtoročnej show bola oblasť kryptoanalýzy. Pomocou sofistikovaných metód dokázal tím vytvoriť prvú kolíziu hashov SHA-1. Ak si nie ste istí, čo to znamená, čítajte ďalej, pretože je to veľmi cool.

Po 20 rokoch je čierny klobúk pre hackerov stále najlepšou etapou. Budúcnosť je však neistá. Kybernetické útoky v národnom štáte prešli od vzácnosti k pravidelným javom a podiely sú väčšie ako kedykoľvek predtým. Ako to vyriešime, stále nie je jasné; možno Black Hat 2018 bude mať odpovede. Dovtedy sa pozrite na niektoré z pútavejších momentov z tohtoročného Black Hat.

1 Väčší a Väčší

Pri príležitosti 20. výročia predstavenia sa hlavná myšlienka konala na masívnom štadióne namiesto veľkej konferenčnej miestnosti. Prehliadka rástla míľovými krokmi len v posledných rokoch.



2 Obeť úspechu

Preťaženie v chodbách bolo na tohtoročnej výstave problémom a situácie, ako sú uvedené vyššie, neboli neobvyklé.



3 Výzva pre bezpečnostné spoločenstvo

Facebookový CSO Alex Stamos predniesol hlavnú prednášku Black Hat v roku 2017 v prejave, ktorý sa rovnako chválil za rodinnú atmosféru daru bezpečnostnej komunity a za výzvu na zlepšenie. Vyzval publikum, aby bolo menej elitármi a aby uznal, že podiely digitálnej bezpečnosti vzrástli, pričom citoval úlohu hackerských a informačných útokov vo voľbách v USA v roku 2016.



4 ultrazvukové pirátske útoky Drones, Hoverboards

Zariadenia používajú senzory na porozumenie sveta okolo nich, ale niektoré z týchto senzorov podliehajú manipulácii. Jeden výskumný tím demonštroval, ako môžu pomocou ultrazvuku spôsobiť zvlnenie robotov, zvrhnutie hoverboardov a nekontrolovateľné točenie systémov VR. Útok je zatiaľ obmedzený, aplikácie by mohli byť ďalekosiahle.



5 Sú bubliny budúcnosťou hackerstva?

Pravdepodobne nie, ale Marina Krotofil preukázala, ako by sa útoky na ventilový systém vo vodnom čerpadle mohli použiť na vytvorenie bublín, ktoré znížia účinnosť vodného čerpadla a postupom času spôsobia fyzické poškodenie, ktoré má za následok zlyhanie čerpadla. Prostredníctvom svojej prezentácie sa Krotofil snažil demonštrovať, že nezabezpečené zariadenia, ako napríklad ventily, môžu prostredníctvom nových prostriedkov útočiť na zabezpečené zariadenia, ako napríklad čerpadlá. Koniec koncov, antivírusový program neobsahuje bubliny.



6 Bug Bounties and Beer

V posledných rokoch došlo k rozšíreniu programov odmien o chybách, kde spoločnosti platia výskumným pracovníkom, testerom penetrácie a hackerom peňažnú odmenu za hlásenie chýb. Výskumník James Kettle na svojom stretnutí povedal davu, ako zostavil metódu na testovanie 50 000 webových stránok súčasne. Po ceste mal nejaké chyby, ale v tomto procese zarobil viac ako 30 000 dolárov. Povedal, že jeho šéf spočiatku trval na utrácaní všetkých peňazí získaných automatizovaným úsilím o pivo, ale vzhľadom na úspech Kettlea sa rozhodli pre darovanie väčšiny charite a minúlo len trochu na pivo.



7 Útok na veterné farmy

Výskumník Jason Staggs viedol komplexné bezpečnostné hodnotenie veterných fariem, ktoré viedlo jeho tím k niekoľkým 300-stopové spriadacie elektrárne. Nielenže bola fyzická bezpečnosť slabá (niekedy iba visiaci zámok), ale digitálna bezpečnosť bola dokonca slabšia. Jeho tím vyvinul niekoľko útokov, ktoré mohli zadržať výkupné veterných elektrární a dokonca spôsobiť fyzické škody. Mysli na Stuxnet, ale na masívne víriace čepele smrti.



8 Pwnie Express On Guard

Minulý rok spoločnosť Pwnie Express priniesla svoje monitorovacie zariadenie siete a objavila masívny útok so zlým prístupovým bodom, ktorý bol nakonfigurovaný tak, aby napodobňoval sieť šetrnú k prechádzajúcim zariadeniam a vyzýval ich na pripojenie. Tento rok Pwnie spolupracoval s tímom pre bezpečnosť sietí v spoločnosti Black Hat, ale nezistil nič také veľké ako minulý útok - prinajmenšom nič, čo nebolo súčasťou cvičenia v relácii Black Hat. Tento senzor Pwn Pro bol jedným z niekoľkých umiestnených počas konferencie na monitorovanie sieťovej aktivity.

na



9 Nedôverujte svojej tlačiarni

Sieťové tlačiarne boli vedci už dlho považované za hlavné ciele. Sú všadeprítomní, pripojení k internetu a často im chýba základná bezpečnosť. Ale Jens Müller ukázal, že to sa počíta vo vnútri. Použitím protokolov, ktoré používa takmer každá tlačiareň na konverziu súborov na tlačený materiál, bol schopný vykonať niekoľko útokov. Mohol extrahovať predchádzajúce tlačové úlohy a dokonca prekrývať text alebo obrázky v dokumentoch. Útoky, ktoré načrtol, budú existovať, až kým sa niekto konečne nezbaví týchto desaťročných protokolov.



10 Super Collider

Hašovacie funkcie sú všade, ale takmer neviditeľné. Používajú sa na overovanie zmlúv, digitálne podpisovanie softvéru a dokonca aj bezpečné heslá. Hashova funkcia, ako napríklad SHA-1, prevádza súbory na reťazec čísel a písmen a žiadne dva by nemali byť rovnaké. Výskumník Elie Bursztein a jeho tím však vymysleli spôsob, ako dva rôzne súbory skončiť rovnakým hashom. Toto sa nazýva kolízia a to znamená, že SHA-1 je mŕtvy ako dverný klinec.



11 Hacking a Tesla (opäť)

V roku 2016 tri vedci ukázali, ako boli schopní prevziať kontrolu nad spoločnosťou Tesla Model S. Tento rok sa vedci z spoločnosti Tencent KeenLab vracali krok za krokom k útoku. Ale to nebolo všetko zhrnutie: preskúmali tiež Teslovo zmiernenie ich počiatočného útoku a predstavili svoje nové útoky; tím predvádzal dvojicu áut, ktoré blikali svetlami a včas otvárali dvere hudbe.



12 Hacking Apple Pay na webe

Pri prvom uvedení na trh som rozsiahle písal o Apple Pay, chválim jeho tokenizáciu údajov o kreditných kartách a to, ako Apple nedokázal sledovať vaše nákupy. Ale Timur Yunusov nebol presvedčený. Zistil, že je možné zachytiť poverenia a vykonať opakovaný útok pomocou Apple Pay na webe. Lepšie dávajte pozor na tieto účty za kreditné karty.



13 Riadenie priemyselných robotov z diaľky

Svoje zistenia týkajúce sa bezpečnosti robotov predstavili trojica vedcov zastupujúcich tím z Politecnico di Milano a Trend Micro. Nie váš priateľský Roombas, ale pracovitý a výkonný priemyselný robot nájdený v továrňach. Zistili niekoľko kritických nedostatkov, ktoré by útočníkovi mohli umožniť ovládnuť robota, zaviesť chyby do výrobných procesov a dokonca potenciálne poškodiť ľudské subjekty. Viac znepokojujúce je zistenie, že k internetu je pripojených mnoho tisíc priemyselných robotov.



14 Čo bude ďalej?

Čierny klobúk je hotový už rok, ale s viditeľnejšou a cennejšou digitálnou bezpečnosťou ako kedykoľvek predtým bude v nasledujúcom roku určite zaujímavé prekvapenie.