Найцікавіші теми з конференції з кібербезпеки Black Hat 2020

Щороку науковці та хакери обмінюються новинами індустрії на конференції з комп’ютерної безпеки Black Hat. Цього року через пандемію COVID-19 захід пройшов у віддаленому форматі. Попри це теми виступів викликали активне обговорення і стурбували багатьох учасників.

пристро

На Black Hat, DEF CON (а також HOPE 2020 і інших зустрічах) записані виступи поєднувалися з прямими ефірами, а ділитися враженнями можна було в спеціальних чатах. Досвід був визнаний вдалим, хоча учасникам, звичайно, не вистачало звичної атмосфери живого спілкування професіоналів. Ми підготували стислий опис тем, які викликали найбільші обговорення.

Відстеження пристроїв

Давно відомо, що правоохоронні органи (та інші структури) можуть відстежувати стільникові телефони в режимі реального часу, а в деяких випадках навіть перехоплюють дані з них. Спеціальні пристрої, також відомі під назвою IMSI-паски, видають себе за вежі стільникового зв’язку, змушуючи мобільні пристрої підключатися до них. Цього року EFF продемонстрував Crocodile Hunter — інструмент, який виявляє підозрілі вежі стільникового зв’язку в режимі реального часу.

Супутникове піратство

Шпигувати за мережею Wi-Fi складно, тому що для цього потрібно підібратися досить близько до мети. Із супутниковим інтернетом справа йде інакше: ці пристрої можуть передавати дані користувачів через океани та континенти. Ця інформація часто буває не зашифрована, тому її легко перехопити навіть за допомогою досить примітивного обладнання. VPN навряд чи допоможе через спеціальні налаштування швидкості, використовуваних провайдерами супутникового інтернету. На щастя, дослідники запропонували розв’язання цієї проблеми.

Коронавірус і вибори-2020

Основний спікер Метт Блейз виступив з хорошими новинами: фахівці придумали, як забезпечити безпеку виборів в США — залишалося тільки реалізувати ідею по всій країні. Потім почалася пандемія, і розробники зіткнулися з новими викликами. Блейз розповів про ускладнення, які COVID-19 привносить в і без того складну сферу забезпечення безпеки виборів, і закликав учасників конференції в міру сил брати участь в діяльності місцевих виборчих дільниць.

Арешт за легальний злам

Джастіна Винна та Гері Демеркуріо найняли для проведення тестів на проникнення в систему — в основному, реальних атак — щоб зрозуміти, чи вдасться їм потрапити в урядову будівлю та отримати доступ до комп’ютерних систем. Їх дії були узгоджені зі штатом Айова і місцевими правоохоронними органами, що не завадило шерифу заарештувати фахівців.

Особливості телемедицини

Останнім часом багато говориться про нові методи лікування і можливості телемедицини. Іноді дуже зручно відправити лікарю повідомлення замість того, щоб планувати візит до лікарні, але не варто забувати, що безпека даних у відповідних додатках може опинитися під загрозою.

Корисні головоломки

Метт Віксі любить розгадувати головоломки не тільки тому, що це весело, але і тому, що, на його думку, це допомагає у розв’язанні проблем та складних завдань. Здається, хакерство теж підпадає під це визначення.

Злам громадської думки

Рені ДіРеста зі Стенфордської обсерваторії інтернету багато розмірковує про те, як державні діячі використовують мережу для досягнення своїх цілей. У своїй презентації вона показала, що Китай може похвалитися величезною армією фейкових онлайн-акаунтів, але дії Росії в інтернеті при менших вкладеннях були набагато ефективніше. Погана новина: вони все-таки працюють. Хороша: для таких дій використовується ланцюжок подій, яку можна розірвати.

У ламп є вуха

Якщо ви хочете обговорити щось секретне, краще вести розмову в темряві: вчені знайшли спосіб фіксувати найдрібніші зміни в освітленні, які викликають звукові хвилі, які потрапляють на лампочку. Завдяки деяким технологічним ноу-хау звук можна відтворити з великої відстані. Дослідники назвали своє дітище Lamphone.

Пряник, а не батіг

Співробітник отримує тестовий фішинговий лист від «служби безпеки» роботодавця, переходить за посиланням і стикається з безліччю проблем. Це відбувається постійно, і Маша Сєдова з Elevate Security знає, чому. Щоб змінити поведінку співробітників, потрібно правильно їх мотивувати. Спікер розповідає про основні принципи, які допоможуть це зробити.

Мета втручання

Нейт Біч-Уестморленд проаналізував операції російської військової розвідки за десять років і виявив приклади тактики, відомої американцям по 2016 року: дискредитація чиновників, злам даних і гра на чинних культурних відмінностях. Попри те, що ці дії рідко призводять до успіху, вони все ж гарантують хаос на певному етапі. Хто знає — може, в цьому і полягає основна мета.

Bluetooth проти Wi-Fi

Телефон, комп’ютер і розумні годинники обмінюються даними через бездротову мережу через безліч радіостанцій, які не повинні заважати один одному — це називається механізм співіснування. Отримавши доступ до Bluetooth або Wi-Fi можна впливати на цю систему, отримувати дані, відключати зв’язок і навіть робити пристрої несправними. Цей тип атаки отримав назву Spectra.

Секрет Kr00k

Роберт Липовський та Стефан Своренчік з ESET детально вивчили атаку Kr00k, виявлену кілька місяців тому. Вона використовує особливості системи безпеки Wi-Fi та привласнює деяким пакетам даних вкрай небезпечний ключ від шифру, що складається з одних нулів.

Наскрізне шифрування

Наскрізне шифрування — це досить складний механізм. Омер Акгуль з Університету Меріленда і Вей Бей з Google намагаються пояснювати його принципи на доступному рівні, щоб люди могли приймати більш продумані рішення про способи захисту даних. Лабораторний етап пройшов успішно. Цікаво, чи вдасться вмонтувати докладні інструкції у звичайні додатки.

БІЛЬШЕ ЦІКАВОГО:

Джерело: Medium