Wat te bekijken bij Black Hat en Defcon

Het is erg lastig, zo niet onmogelijk om het grote nieuws van de Black Hat- en Defcon-conferenties van deze week te voorspellen. Meestal komen de interessantste verhalen op het allerlaatste moment naar boven - hackers zijn geneigd om de echt grote gesprekken te onthullen omdat ze niet willen dat nerveuze advocaten ze afsluiten. En zelfs als je denkt dat je weet wat er aan de hand is, stapt soms een van de shows naar voren om centraal te staan, zoals Defcon drie jaar geleden deed toen Dateline NBC-verslaggever Michelle Madigan de conferentie verliet omdat ze probeerde de aanwezigen in het geheim te filmen.

Black Hat, hoe meer bedrijfsevenement, en de onhandelbare zusterconferentie, Defcon, worden elk jaar na elkaar in Las Vegas gehouden. De Black Hat-conferentie van dit jaar is op woensdag en donderdag. Defcon loopt van vrijdag tot en met zondag.

Verwacht deze week wat chaos in Las Vegas. Verwacht enkele verrassingen. Als je aanwezig bent, verwacht dan een kater. Maar kijk ook uit naar een aantal interessante beveiligingsverhalen over deze onderwerpen:

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

1) De ATM-jackpot raken

De langverwachte toespraak van dit jaar komt van Barnaby Jack, voorheen van Juniper Networks. Jack speelt al enkele jaren met geldautomaten (geldautomaten) en is klaar om te praten over enkele van de fouten die hij in de producten heeft gevonden. We weten nog niet wiens geldautomaten kwetsbaar zijn - of zelfs als de fabrikanten bekend worden gemaakt - maar geldautomaten zijn een groen veld voor onderzoekers van kwetsbaarheden.

Black Hat-conferentiedirecteur Jeff Moss zegt dat het werk aan ATM-bugs doet denken aan het onderzoek naar de stemmachine dat een paar jaar geleden uitkwam - wat ernstige beveiligingskwetsbaarheden in de systemen aantoonde en veel overheidsinstanties deed nadenken over de manier waarop ze e-voting implementeerden. Jack's talk is controversieel. Juniper trok het op het laatste moment voor de Black Hat-conferentie van vorig jaar, op verzoek van ATM-makers. Maar nu hij werkt voor een nieuw bedrijf, IOActive, is Jack van plan om verschillende nieuwe manieren te laten zien om ATM's aan te vallen, inclusief aanvallen op afstand. Hij zal ook onthullen wat hij een "multi-platform ATM rootkit" noemt, volgens een beschrijving van zijn verhaal.

"Ik heb de scène altijd leuk gevonden in 'Terminator 2', waar John Connor naar een geldautomaat loopt, interfaces zijn Atari naar de kaartlezer en haalt geld uit de machine.Ik denk dat ik die jongen heb verslagen ", schrijft Jack in zijn samenvatting.

2) DNS

Twee jaar geleden maakte Dan Kaminsky de krantenkoppen wereldwijd door het onthullen een fout in het DNS (Domain Name System) dat wordt gebruikt om de adressen van computers op internet op te zoeken. Dit jaar spreekt Kaminsky opnieuw bij Black Hat - dit keer op webbeveiligingshulpmiddelen. Maar hij is ook uitgenodigd om deel te nemen aan een persconferentie waar hij en vertegenwoordigers van ICANN (Internet Corporation voor toegewezen namen en nummers) en VeriSign Domain Name System Security Extensions (DNSSEC) bespreken - een nieuwe manier om DNS te doen die een niveau biedt van vertrouwen dat computers verbonden met het internet zijn wat ze feitelijk beweren te zijn.

Ongeveer twee weken geleden stond ICANN voor de eerste cryptografische ondertekening van een root-server met een DNSSEC-sleutel. DNSSEC wordt nog niet breed ondersteund, maar ICANN hoopt dat door het ondertekenen van een root-zone anderen worden aangemoedigd om het protocol te ondersteunen in hun server- en clientsoftware. Onderzoekers zoals Kaminsky zeggen dat wijdverspreide adoptie van DNSSEC een hele hoop kan beteugelen van online aanvallen. "We hebben gekeken naar hoe DNSSEC niet alleen DNS-kwetsbaarheden zal aanpakken, maar ook enkele van de kernkwetsbaarheden die we hebben op het gebied van beveiliging," zei Kaminsky in een interview. "We gaan niet al deze problemen met DNSSEC oplossen … maar er is een hele klasse van authenticatie-kwetsbaarheden die DNSSEC wel aanpakt."

3) Mobiele bugs

Laat de Kraken los! Dat is precies wat GSM-beveiligingsonderzoekers dit jaar bij Black Hat gaan doen, in wat uiteindelijk een grote hoofdpijn voor Amerikaanse en Europese mobiele netwerkexploitanten zou kunnen worden. Kraken is open-source gsm-kraak software die net is voltooid. Gecombineerd met een aantal sterk geoptimaliseerde rainbow-tabellen (codelijsten die het coderingsproces versnellen), kunnen hackers GSM-berichten en -berichten ontsleutelen. Wat Kraken niet doet, is de oproepen uit de wacht slepen. lucht. Maar er is nog een gsm-snuivend project - AirProbe genaamd - dat op zoek is om dat te realiseren. De onderzoekers die aan deze tools werken zeggen dat ze reguliere gebruikers willen laten zien wat spionnen en security-geeks al lang weten: dat het A5 / 1-versleutelingsalgoritme dat wordt gebruikt door dragers zoals T-Mobile en AT & T zwak is en gemakkelijk kan zijn gebroken.

Maar waarom breken GSM-codering als je eenvoudig telefoons kunt misleiden om verbinding te maken met een nep-basisstation en vervolgens de codering kunt laten vallen? Dat is precies wat Chris Paget van plan is om deze week in Las Vegas te demonstreren, waar hij zegt dat hij deelnemers aan de conferentie zal uitnodigen om hun oproepen te laten onderscheppen. Zou een leuke demo moeten zijn, als het legaal is. Paget denkt van wel. Hij heeft ook het "wereldrecord" ontwikkeld voor het lezen van RFID-tags op een afstand - honderden meters - die hij zal bespreken tijdens een Black Hat-talk.

Een andere onderzoeker, alleen bekend als The Grugq, zal praten over het bouwen van kwaadaardige GSM-netwerkbasisstations en componenten op mobiele apparaten. "Vertrouw ons, u wilt * * uw telefoon uitschakelen voor de duur van deze toespraak," leest de beschrijving van de lezing.

En op een week die begon met Citibank's bekentenis dat het de veiligheid op zijn iPhone-app, een andere talk-to-watch is Lookout Security's "App Atttack", die licht zal werpen op onzekerheden in mobiele applicaties.

4) Industriële nachtmerrie

Siemens heeft deze maand een voorproefje gekregen van hoe het is om te reageren op een real-world SCADA-aanval (supervisiecontrole en data-acquisitie), toen iemand een geavanceerde worm losliet die zijn Windows-gebaseerde beheersystemen aanviel. Maar SCADA-experts zeggen dat Siemens gewoon pech had en dat dit type aanval gemakkelijk ook alle concurrenten van het bedrijf had kunnen uitschakelen. Sterker nog, er zijn tal van beveiligingsproblemen waar industriële besturingssystemen last van hebben - zovelen dat ze dit jaar hun eigen weg banen met Black hat. <> In de afgelopen 10 jaar, Jonathan Pollet, de oprichter van Red Tiger Security, heeft beveiligingsbeoordelingen uitgevoerd op meer dan 120 SCADA-systemen en hij zal vertellen waar beveiligingskwetsuren het meest waarschijnlijk opduiken. Pollet zegt dat veel netwerken een soort niemandsland hebben ontwikkeld tussen IT en industriële systemen - computers die vaak gevaar lopen omdat niemand echt volledig eigenaar van ze lijkt te worden. Pollet zal vertellen waar deze bugs in verschijnen de infrastructuur - zijn bedrijf heeft gegevens verzameld over 38.000 kwetsbaarheden - en de soorten exploits die voor hen zijn geschreven. "Je hoeft niet te wachten op zero-day-kwetsbaarheden," zei hij. "Er zijn al veel exploits."

5) Wildcard!

Zal de groep Zero for Own, Dan Kaminsky en anderen gehackt hebben aan de vooravond van de showrend van vorige week? Zullen de FBI of AT & T Paget stoppen met messing met GSM? Zal een irate pinautomaathouder een last-minute juridische uitdaging aangaan om de woorden van Barnaby Jack te horen? Zal de Social Engineering wedstrijd van Defcon iemand in de financiële dienstenindustrie ertoe brengen om een ​​pakking te blazen? Zal een zwerm bijen het zwembad aan de Rivièra teisteren? Wie weet, maar in Vegas, verwacht het onverwachte.

Robert McMillan behandelt computerbeveiliging en algemeen technologisch breaking news voor The IDG News Service. Volg Robert op Twitter op @bobmcmillan. Het e-mailadres van Robert is [email protected]