Crni šešir 2018: što očekivati

Dok se ljeto zagrijava, sigurnosni istraživači, vladini sabornici i industrijske elite kreću se u Las Vegas na konferenciju o Black Hat-u, a odmah nakon njega slijedi i poznatiji odmetnik DefCon.

To je tjedan dana slavlja svih stvari, na kojima se istraživači pokušavaju međusobno izlagati prezentacijama o najnovijim, najstrašnijim ranjivostima. Nakon mraka, blistave su zabave s ljudima koji se ležerno bacaju oko fraza poput "pretresli smo sobu za uređaje za slušanje i pronašli tri!" Među svim tim bedama bit će vaši skromni izvjestitelji za PCMag Max Eddy i Neil Rubenking, čvrsto se držeći papirnatih pića s kišobranima dok im tajne sigurnosti šapuću u uši.

Crna kapa poznata je po svojoj izložbenosti koliko i istraživanju. Prethodnih godina istraživači su vidjeli hakirane Linux puške, bankomate koji ispisuju novčanice od 100 USD, nesigurne satelitske telefone i visokotehnološke "pametne" automobile istraživači.

Evo čemu se veselimo u 21. godini Black Hat-a i budno pratite SecurityWatch za najnovije vijesti iz Black Hat 2018.

Google u centru pažnje

Ovogodišnju će glavnu riječ održati Parisa Tabriz, direktorica inženjeringa Googlea. Tabrizin razgovor usredotočit će se na prihvaćanje novih ideja sigurnosti, čak i kada rade ogromne razmjere, a zasigurno će se dotaknuti i njezinog rada s preglednikom Chrome.



Hakiranje automobila je vraćeno (vrsta)

Nakon njihovog napada koji je doslovno istjerao džip s ceste, Charlie Miller i Chris Valasek rekli su da su se zauvijek pretvorili u svoje ključeve za sjeckanje automobila. Odnosno, sve dok se nisu uključili u samovozna vozila. Priča o opasnostima autonomnih automobila na čelu s kraljevima automobilskih napada sigurno će privući pažnju.



Sjeckanje ljudi

Postoji uobičajena (ako odbaciva) šala među sigurnosnim stručnjacima koja kaže, "najveća ranjivost u bilo kojem sustavu je između stolice i računala". Ljudi su podjednako lako prevareni kao i računala (možda i lakše), a socijalni je inženjering zasigurno glavna tema. To je osobito istinito jer se sve više i više organizacija suočava s neugodnošću da podlegne phishing napadima. Nitko ne želi biti Demokratski nacionalni odbor oko 2016. godine, a njihove se recepte za zavarivanje i rižoto spremaju po webu.



Šifriranje i VPN-ovi

Iz iskustva, VPN-ovi su dobra roba u sigurnosnoj industriji. Globalni nemiri i želja za pristupom besplatnom streaming videozapisu putem interneta pokrenuli su popularnost ovog nekoć uspavanog i previdjenog sigurnosnog alata. S obzirom na njihovu nedavnu popularnost i neprozirnost uključenih tvrtki, očekujte da će se hakeri usredotočiti na VPN usluge.

Isto tako, šifriranje je tehnologija koja čini da sve djeluje na mreži, od čuvanja tajni do provjere identiteta pojedinaca. To je moćan alat i uzbudljiva meta. Istraživači na konvenciji zasigurno će predstaviti rad o tome kako izdvojiti, oslabiti ili na neki drugi način zaobići šifriranje. Ne očekujemo ništa revolucionarno poput sudara hash-a SHA-1, ali razgovor o napadu bočnih kanala radi krađe šifrirajućih ključeva s usmjerivača zvuči uzbudljivo.



Prekid (ili korištenje) blok-bloka

Kripto valute su miljenici internetskog podzemlja kao i tehnološki ulagači. Njihova novčana vrijednost i digitalno postojanje čine ih lakim metama za hakere, što je tema nekoliko sjednica ove godine. Ali upotreba temeljne blockchain tehnologije kao sredstva za pohranu podataka i uspostavljanje povjerenja na mreži može donijeti najzanimljivije istraživanje. Neke će se sjednice usredotočiti na to kako napasti temelje kriptovaluta, za nečasne ciljeve.



Hack the Vote

Ruski pokušaji utjecaja na američke izbore 2016. stvar su činjenica, kažu američke obavještajne i agencije za provođenje zakona. To je jedina najveća sigurnosna priča od informacija od Snowdena, a još uvijek traje. Iako nismo vidjeli previše o ovoj temi prošle godine, izborno hakiranje i ranjivi glasački strojevi su višegodišnja tema u Black Hat-u, pa ih očekujte i ove godine. Jedna zapažena sesija govori o tome kako pomoću postojećeg grafikona na društvenim mrežama otkriti maske ruskog Twittera.



Dvofaktorska provjera autentičnosti: Godgend ili Curse?

Google je nedavno smanjio krađu identiteta upotrebom fizičkih uređaja s dva faktora i na svojoj sljedećoj konferenciji predstavio vlastitu liniju sigurnosnih ključeva. Ali svako rješenje sigurnosnog problema nova je prilika da se istraživač pokaže. Sigurno smo vidjeli neke napade na 2FA sustave.



Hakiranje u 21. stoljeću

Black Hat i DefCon najveći su događaji u godini za sigurnosne stručnjake i hobi hakere, pa je i vrijeme da se pogleda zajednica u cjelini. Iako su uloženi napori da se sigurnost informacija i konferencije učine prijateljskijim prema ženama, ljudima u boji, osobama s invaliditetom i drugim skupinama koje su često marginalizirane u tehnološkom biznisu, ovi događaji su mjesto na kojem guma susreće put. Bit će održano više od nekoliko sastanaka različitih grupa i sesija o tome kako učiniti infosec dobrodošlim. Nekoliko sesija bavi se problemima depresije i PTSP-a u zajednici hakiranja, o kojoj se često ne raspravlja.



Kako hakirati elektranu (ili postrojenje za pročišćavanje vode, tvornicu ili električnu mrežu)

Većina hakera upravo sprema zaraditi na brzinu, ali neki napadači (i akteri nacionalnih država) imaju pogled na veće nagrade: infrastrukturu. Prethodnih godina smo vidjeli sjednice o tome kako uništiti tvornicu mjehurićima i taktikama kako ukloniti zbunjujuće, naručiti sustave koji čine većinu industrijskih kompleksa.