黑帽大会的十二个最新技术亮点

2011-08-02 11:04


同往常一样，将于本周在拉斯维加斯举行的年度黑帽大会无疑是重磅事件。会上，安全专家将会粉碎人们不切实际的幻想——他们会告诉大众高科技行业制造的东西，不会有任何安全可言。

AD：


同往常一样，将于本周在拉斯维加斯举行的年度黑帽大会无疑是重磅事件。会上，安全专家将会粉碎人们不切实际的幻想——他们会告诉大众高科技行业制造的东西，不会有任何安全可言。

在2011年的黑帽大会上，安全研究人员将会展示50多种产品，其中最密集的是展示设备漏洞：包括USB设备，打印机，扫描仪，iPhone与安卓设备，Chrome，笔记本电脑，行业监控与数据采集系统(SCADA)。

一些关于本次大会的细节已经被提前披露，比如查理米勒在“财富”杂志上写道：已经发现侵入苹果MacBook, MacBook Pro与MacBook Air芯片且控制电池的方法，这样就可以摧毁它们或者在它们上面安装持续的恶意软件。

同时，会上也会有一些让人恐惧的展示项目，比如iSEC Partners的研究员Don Bailey和Matthew Solnik将会展示一些“文本指令战争”(War Texting)技巧以发现汽车，然后利用其移动网络的漏洞经由笔记本电脑打开车门，发动汽车引擎。

如果对打印机感兴趣，会上Zscaler的研究员Michael Sutton将会展示：如何通过网络和最近处理的文档集(甚至都不用进入其内部)，轻易找到打印机与扫描仪的嵌入式网络服务器。

以下是我们在黑帽大会安排里精心挑选的几项让人不寒而栗的内容(除非展示人胆怯退出，之前有人因为害怕厂商使用这些方法而退会)。尽管一旦研究人员说他们早已告诉厂商问题所在与修正方法，人们的兴奋感就会被降低。但是，在梦幻般的黑帽大会中，以下活动极为可能出现：

1.利用ioS内核：Stefan Esser将会展示iPhone内核级的开发利用。

2.侵入安卓设备以营利：Riley Hassell和Shane Macaulay将会曝光安卓应用程序全新的威胁，还会讨论安卓系统和安卓市场的已知与未知漏洞。

3. 苹果iOS安全评估：漏洞分析与数据加密：，Dino Dai Zovi将会分析在几个关键的安全机制中，就其长处与短处，企业应该考虑什么。

4.侵入Google Chrome OS： Matt Johansen与Kyle Osborn声称已经发现其大量严重的基本安全设计缺陷，只需要轻轻一击鼠标，用户的电邮，联系人，已存的文档就会被暴露。而且，还可以通过窃取其临时cookie盗取其Google账户等等。

5.损坏芯片密码卡：Adam Laurie, Zac Franken, Andrea Barisani与Daniele Bianco四人组，将会展示如何通过在电磁电容世界的信用卡扫描与个人身份号码(PIN)获取，成功侵入基于芯片的支付卡。

6.利用西门子Simatic S7 PLCs：独立研究员，NSS实验室工作人员Dillon Beresford将会以此展示工业数据监控与采集系统(SCADA)的缺陷。

7.获取路由表：Gabi Nakibly计划展示开放路由最短路径优先(OSPF)协议上的漏洞，该漏洞将会使黑客不必获得路由器本身，就可以得到路由器内的路由表。

8.Sophail——Sophos杀毒软件的批判分析：为了分析Sophos声称所拥有的技术，探测已被曝光的丰富的攻击平面，展示其缺陷与漏洞，Tavis Ormandy将会对Sophos的反病毒软件产品进行全面检测，然后进行批判。

9.通过Arduino利用USB设备：Greg Ose将会讨论如何利用Arduino硬件架构中的部件。

10.在SAP J2EE引擎核心上的毁灭性打击：Alexander Polyakov将会展示其漏洞攻击的细节，还会提供一个检测攻击的免费工具。

11.侵入与forensicate甲骨文数据库服务器：资深的数据库安全研究员David Litchfield将会展示此项内容。David曾于过去发现甲骨文产品的关键安全缺陷，这应该引起重视。

12.微软的Vista系统——不再保密的那些好的，坏的，不甚美观的：尽管对我们大多数人来说其只有历史价值，但是安全研究员Chris Paget仍然会会曝光之前Vista安全进程的秘密信息。Chris说他之所以等到现在，是因为为了获取源代码和设计规格，他曾于五年前与微软签订保密协议(NDA)，现在刚好赶在黑帽大会之前协定过期了。

当微软的安全社区外联和战略小组首脑Kate Moussouris开始她的谈话“爱从Redmond(微软总部所在地)开始”之时，那听起来似乎像儿女回老家探望。

她将会告诉黑帽大会的出席者(这些人有时对寻找微软Windows产品的漏洞过分热情)：当微软于2008年宣布3个战略性的计划时(在升级前分享微软产品的漏洞信息，寻找第三方产品的漏洞，预测短时间内黑客会确实利用哪些漏洞)人们都认为微软失去理智了。

然而几年后微软似乎仍然古怪疯狂，Kate保证说道：“2011年我们仍然会继续想出疯狂的点子。”微软还会派她在黑帽大会上说出什么疯狂的东西呢?我们拭目以待。