Auto, fucili e altro ancora: cosa aspettarsi da Black Hat 2015

VISUALIZZA TUTTE LE FOTO IN GALLERIA

Con le violazioni dei dati parte del tipico ciclo di notizie e Edward Snowden ora un nome familiare, il grande pubblico ha un profondo interesse per la sicurezza digitale. E il più grande spettacolo per la sicurezza offensiva è Black Hat, la conferenza in cui gli hacker sfregano i gomiti con figure del settore e del governo per mostrare gli ultimi hack, attacchi e vulnerabilità.

Hack Everything

In passato erano solo i computer connessi a Internet. Oggi tutti hanno almeno un dispositivo collegato (telefono o tablet) a portata di mano. Siamo tutti abituati alla necessità di antivirus e software di sicurezza sui PC, ma un buon numero di consumatori non può semplicemente avvolgere la testa attorno alla necessità di sicurezza mobile e software antivirus. Sebbene desktop e server siano ancora gli obiettivi preferiti dagli hacker di Black Hat, i dispositivi mobili stanno diventando una parte sempre più grande dello spettacolo.

Una sessione di Black Hat descrive una nuova tecnica per ottenere l'accesso root a qualsiasi dispositivo Android. Un altro si espanderà sull'exploit Stagefright già pubblicizzato, che potrebbe consentire agli aggressori di hackerare il telefono con un messaggio di testo. Gli smartphone sono stati di particolare interesse per gli hacker per anni a causa della loro ubiquità e perché combinano un computer portatile con diverse radio wireless. In effetti, le funzionalità di rete dei telefoni a volte sono più interessanti del telefono stesso. Una sessione di sopracciglia al Black Hat propone di utilizzare un vecchio telefono cellulare per raccogliere informazioni elettromagnetiche sui computer vicini.

VISUALIZZA TUTTE LE FOTO IN GALLERIA

La situazione peggiora. Internet è in tutto in questi giorni: automobili, serrature, frigoriferi, persino lampadine. E molti venditori in questa nuova era dell'Internet of Things non pensano alla sicurezza. L'anno scorso, hacker intelligenti hanno mostrato come assumere il controllo di un termostato Nest in pochi secondi. Hanno usato il dispositivo hackerato per eseguire sfondi animati, ma altri attacchi potrebbero non essere così belli.

È possibile integrare la sicurezza nel firmware, ma la pratica non è ancora comune. Almeno due presentazioni al Black Hat dimostreranno le tecniche per assumere il controllo di un'auto con funzionalità Internet. Un altro sottolinea le vulnerabilità nei controllori logici programmabili (PLC) basati su Internet utilizzati nelle fabbriche. Altre vittime includono il lettore di carte di credito Square, le pompe di benzina e persino un fucile con motore Linux. Smart card e tag di ingresso RFID, terminali di pagamento NFC senza contatto, schede SIM: tutte queste tecnologie sono create dall'uomo e quindi imperfette. Gli esperti di sicurezza presenteranno le loro scoperte sulle vulnerabilità in tutte queste aree.

Black Hat è dove sentirsi impazziti è la norma ed essere paranoici è un vantaggio. Dove altro potrebbero salire sul palcoscenico i malware di Mac OS X, le femtocelle canaglia e gli attacchi contro le comunicazioni via satellite? Mentre ci sono più sessioni che si occupano di mobile e Internet of Things, Black Hat rimane la destinazione per conoscere le vulnerabilità del giorno zero. E quest'anno, 32 diversi zero-day saranno divulgati attraverso una varietà di tecnologie, compresi i sistemi di controllo mobile e industriale, ha detto a eWEEK Steve Wylie, direttore generale di Black Hat.

I dispositivi Earthbound non sono gli unici obiettivi. L'anno scorso abbiamo visto notevoli attacchi di comunicazioni aeree e satellitari. In una dimostrazione, un ricercatore ha preso il controllo di una radio satellitare e l'ha trasformata in una slot machine.

Prima di Black Hat 2015, gli hack delle compagnie aeree erano tornati nelle notizie e i presentatori promettono attacchi che si concentrano anche sui satelliti. Mentre gli attacchi agli elettrodomestici intelligenti di tutti i giorni sono una grande preoccupazione per il futuro, pezzi di infrastrutture digitali costosi ed essenziali sono in orbita in questo momento e potrebbero anche essere a rischio.

La vetrina dell'Arsenal di strumenti di sicurezza generalmente non attira il tipo di attenzione (o folla) delle presentazioni sul palco, ma offre sbirciatine ad alcuni strumenti sorprendenti: lo SpeedPhishing Framework per incorporare le funzionalità di phishing via e-mail come parte di un test di penetrazione, un ambiente di test da OWASP precompilato con applicazioni vulnerabili e un modo per visualizzare payload dannosi in file PDF. È ora di aggiornare quel toolkit di sicurezza!

Oltre il cyber

La comunità dei fanatici della sicurezza e degli appassionati è cresciuta molto negli ultimi anni. È molto più professionale, e se il Black Hat di quest'anno è un'indicazione, molto più politico. Questo potrebbe essere solo una questione di eventi attuali - la sicurezza informatica è un argomento ricorrente a Capitol Hill, dopo tutto - oppure potrebbe riflettere il crescente appetito della comunità per l'attivismo e la maggiore consapevolezza. Abbiamo sessioni del governo, tra cui Akshan Soltani, capo tecnologo della Federal Trade Commission, e Leonard Bailey del Dipartimento di Giustizia.

Ma c'è ancora molto sentimento antigovernativo, come una sessione in cui si criticano i metodi della FTC nella regolamentazione della sicurezza informatica, una panoramica del portafoglio di strumenti della National Security Agency e una tavola rotonda sul Wassenaar Arrangement, un trattato internazionale che regola la armi informatiche.

• L'hacking remoto dell'automobile è ora una realtà L'hacking remoto dell'automobile è ora una realtà
• Non c'è (quasi) niente che tu possa fare su Stagefright Non c'è (quasi) niente che tu possa fare su Stagefright
• Fucile di precisione intelligente vulnerabile agli hacker Fucile di precisione intelligente vulnerabile agli hack

Sebbene le perdite di Edward Snowden abbiano rivelato quanto sia realmente aperta la nostra moderna cultura dell'informazione, le sue rivelazioni sembrano notevolmente assenti dai panel e dalle discussioni di quest'anno. Solo una sessione, definita come un dibattito, affronterà direttamente il problema. Significa che Snowden è stato un lampo nella padella? Lontano da esso. Le sessioni riguarderanno il malware dello stato nazionale e le armi informatiche progettate per attaccare l'infrastruttura. Queste sessioni potrebbero essersi verificate anche se Snowden fosse rimasto in silenzio, ma le sue perdite aggiungono molta urgenza a questi argomenti.

Per quanto Black Hat sia un parco giochi per gli hacker, è anche il luogo in cui governo, industria e singoli individui condividono le idee che modellano la sicurezza digitale. E mentre alcune delle scoperte che debuttano al Black Hat potrebbero solo afferrare i titoli, altre potrebbero incoraggiare le aziende e gli individui a pensare più attentamente al mondo digitale in cui vogliono vivere.