Cosa guardare a Black Hat e Defcon

Cercare di prevedere la grande novità delle conferenze Black Hat e Defcon di questa settimana è estremamente difficile, se non impossibile. Di solito le storie più interessanti appaiono all'ultimo minuto: gli hacker tendono a non divulgare i discorsi davvero grandi perché non vogliono che gli avvocati nervosi li chiudano. E anche quando pensi di sapere cosa sta succedendo, a volte uno degli spettacoli fa passi avanti, come Defcon ha fatto tre anni fa quando la giornalista di Dateline NBC, Michelle Madigan, era a corto di una conferenza per aver cercato di filmare segretamente i partecipanti.

Black Hat, l'evento più aziendale e la sua conferenza sorella indisciplinata, Defcon, si tengono uno dopo l'altro ogni anno a Las Vegas. La conferenza di Black Hat di quest'anno si terrà mercoledì e giovedì. Defcon va da venerdì a domenica.

Quindi aspettati un po 'di caos questa settimana a Las Vegas. Aspettatevi delle sorprese. Se stai frequentando, aspettati una sbornia. Ma guardate anche alcune interessanti storie sulla sicurezza su questi argomenti:

[Ulteriori letture: Come rimuovere il malware dal PC Windows]

1) Colpire il jackpot ATM

Il discorso più atteso di quest'anno viene da Barnaby Jack, ex Juniper Networks. Jack ha lavorato con gli sportelli automatici (bancomat) negli ultimi anni ed è pronto a parlare di alcuni dei bug che ha trovato nei prodotti. Non sappiamo ancora quali bancomat siano vulnerabili - o anche se i produttori saranno rivelati - ma gli sportelli automatici sono un campo verde per i ricercatori di vulnerabilità.

Il direttore della conferenza di Black Hat Jeff Moss dice che il lavoro sui bug di ATM ricorda quello di la ricerca sulle macchine da voto che è emersa qualche anno fa - che ha mostrato gravi vulnerabilità di sicurezza nei sistemi e ha indotto molte agenzie governative a ripensare il modo in cui stavano uscendo il voto elettronico.

Il discorso di Jack è controverso. Juniper lo ha tirato all'ultimo minuto prima della conferenza Black Hat dello scorso anno, su richiesta dei produttori di ATM. Ma ora, lavorando per una nuova azienda, IOActive, Jack ha in programma di mostrare diversi nuovi modi per attaccare gli sportelli automatici, inclusi gli attacchi a distanza. Rivelerà anche quello che definisce un "rootkit ATM multipiattaforma", secondo una descrizione del suo discorso.

"Mi è sempre piaciuta la scena in" Terminator 2 "dove John Connor si avvicina a un bancomat, interfacce il suo Atari al lettore di carte e recupera denaro dalla macchina. Penso di aver battuto quel ragazzino ", scrive Jack nel suo abstract.

2) DNS

Due anni fa, Dan Kaminsky fece notizia in tutto il mondo scoprendo un difetto nel DNS (Domain Name System) usato per cercare gli indirizzi dei computer su Internet. Quest'anno, Kaminsky sta parlando di nuovo a Black Hat, questa volta su strumenti di sicurezza Web. Ma è stato anche contattato per partecipare a una conferenza stampa dove lui e rappresentanti di ICANN (Internet Corporation per nomi e numeri assegnati) e VeriSign discuteranno le DNS (Domain Name System Security Extensions) - un nuovo modo di fare DNS che fornisce un livello di fiducia che i computer connessi a Internet sono ciò che dichiarano di essere.

Circa due settimane fa, ICANN ha presieduto la prima firma crittografica di un server root con una chiave DNSSEC. DNSSEC non è ancora ampiamente supportato, ma ICANN spera che firmando una zona radice, spronerà altri a supportare il protocollo nei loro software server e client.

Ricercatori come Kaminsky affermano che l'adozione diffusa di DNSSEC potrebbe frenare un intero gruppo di attacchi online. "Stiamo studiando come DNSSEC affronterà non solo le vulnerabilità DNS, ma alcune delle principali vulnerabilità che abbiamo nella sicurezza", ha detto Kaminsky in un'intervista. "Non risolveremo tutti questi problemi con DNSSEC … ma c'è un'intera classe di vulnerabilità di autenticazione a cui DNSSEC si rivolge."

3) Bug mobili

Scatena il Kraken! Questo è esattamente ciò che i ricercatori di sicurezza GSM stanno per fare a Black Hat quest'anno, in quello che potrebbe alla fine diventare un grosso problema per gli operatori di reti mobili statunitensi e europei. Kraken è un software di cracking GSM open source che è stato appena completato. Combinato con alcune tabelle arcobaleno altamente ottimizzate (elenchi di codici che aiutano ad accelerare il processo di rottura della crittografia), offre agli hacker un modo per decifrare chiamate e messaggi GSM.

Quello che Kraken non fa è tirare fuori le chiamate dal aria. Ma c'è un altro progetto di sniffing GSM - chiamato AirProbe - che sta cercando di farlo diventare realtà. I ricercatori che lavorano su questi strumenti dicono di voler mostrare agli utenti regolari ciò che spie e fanatici della sicurezza hanno conosciuto da molto tempo: che l'algoritmo di crittografia A5 / 1 utilizzato dai carrier come T-Mobile e AT & T è debole e può essere facilmente broken.

Ma perché interrompere la crittografia GSM quando puoi semplicemente ingannare i telefoni per connettersi con una base falsa e poi rilasciare la crittografia? È proprio quello che Chris Paget intende dimostrare a Las Vegas questa settimana, dove dice che inviterà i partecipanti alla conferenza a far intercettare le loro chiamate. Dovrebbe essere una demo divertente, se è legale. Paget pensa che lo sia. Ha anche sviluppato quello che lui chiama il "record mondiale" per la lettura di tag RFID a distanza - centinaia di metri - di cui discuterà a un discorso su Black Hat.

Un altro ricercatore, noto solo come The Grugq, parlerà della costruzione di stazioni base e componenti GSM dannosi sui dispositivi mobili. "Affidati a noi, vorrai * voler * spegnere il telefono per tutta la durata di questo discorso", si legge nella descrizione del discorso.

E in una settimana che è stata avviata con l'ammissione di Citibank che aveva incasinato la sicurezza sul suo iPhone app, un altro talk to watch sarà App Atttack di Lookout Security, che farà luce sulle insicurezze nelle applicazioni mobili.

4) Incubo industriale

Siemens ha avuto un assaggio questo mese di ciò che è come rispondere ad un attacco SCADA (controllo di supervisione e acquisizione dati) nel mondo reale, quando qualcuno ha scatenato un worm sofisticato attaccando i suoi sistemi di gestione basati su Windows. Ma gli esperti SCADA dicono che Siemens è stata sfortunata e che questo tipo di attacco avrebbe potuto facilmente abbattere anche i concorrenti della compagnia. In effetti, ci sono un sacco di problemi di sicurezza che affliggono i sistemi di controllo industriale - così tanti che quest'anno stanno ottenendo il loro berretto da Black Hat.

Negli ultimi 10 anni, Jonathan Pollet, il fondatore di Red Tiger Security, ha eseguito valutazioni di sicurezza su oltre 120 sistemi SCADA, e parlerà di dove le vulnerabilità di sicurezza hanno maggiori probabilità di emergere. Pollet afferma che molte reti hanno sviluppato una sorta di no man's land tra IT e sistemi industriali - computer che sono spesso a rischio perché nessuno sembra davvero prenderne possesso completo.

Pollet parlerà di dove si trovano questi bug l'infrastruttura - la sua azienda ha raccolto dati su 38.000 vulnerabilità - e i tipi di exploit che sono stati scritti per loro. "Non devi aspettare le vulnerabilità zero-day", ha detto. "Ci sono già un sacco di exploit là fuori."

5) Wildcard!

Il gruppo Zero for Owned, che ha hackerato Dan Kaminsky e altri alla vigilia dello show della settimana scorsa? I federali o AT & T impediranno a Paget di fare scherzi con il GSM? Un irato venditore di bancomat lancia una sfida legale dell'ultimo minuto al discorso di Barnaby Jack? Il concorso di ingegneria sociale di Defcon farà sì che qualcuno nel settore dei servizi finanziari soffierà una guarnizione? Uno sciame di api infesterà la piscina della Riviera? Chissà, ma a Las Vegas, aspettatevi l'inaspettato.

Robert McMillan copre le ultime notizie relative alla sicurezza informatica e alla tecnologia generale per il servizio di notizie di IDG. Segui Robert su Twitter all'indirizzo @bobmcmillan. L'indirizzo e-mail di Robert è [email protected]