Qué ver en Black Hat y Defcon

Tratar de predecir las grandes noticias en las conferencias Black Hat y Defcon de esta semana es extremadamente complicado, si no imposible. Por lo general, las historias más interesantes aparecen en el último minuto: los hackers tienden a postergar la divulgación de las conversaciones realmente grandes porque no quieren que los abogados nerviosos las cierren. E incluso cuando piensas que sabes lo que está pasando, a veces uno de los shows da un paso al frente para convertirse en el centro de atención, como hizo Defcon hace tres años cuando la reportera de Dateline NBC, Michelle Madigan, se salió de la conferencia por tratar de filmar secretamente a los asistentes al espectáculo.

Black Hat, el evento más corporativo, y su conferencia hermana rebelde, Defcon, se celebran uno tras otro cada año en Las Vegas. La conferencia Black Hat de este año es el miércoles y el jueves. Defcon se ejecuta de viernes a domingo.

Así que espera un caos esta semana en Las Vegas. Espera algunas sorpresas. Si asistes, espera una resaca. Pero también busque algunas historias de seguridad interesantes sobre estos temas:

[Lectura adicional: Cómo eliminar el malware de su PC con Windows]

1) Golpear el Jackpot ATM

La charla más esperada de este año proviene de Barnaby Jack, anteriormente de Juniper Networks. Jack ha estado jugando con cajeros automáticos (cajeros automáticos) durante los últimos años y está listo para hablar sobre algunos de los errores que ha encontrado en los productos. Aún no sabemos quiénes son los cajeros automáticos vulnerables, o incluso si se divulgarán los fabricantes, pero los cajeros automáticos son un campo verde para los investigadores de vulnerabilidades.

El director de la conferencia Black Hat, Jeff Moss, dice que el trabajo sobre los cajeros automáticos es una reminiscencia de la investigación de la máquina de votación que salió hace unos años - que mostró serias vulnerabilidades de seguridad en los sistemas y provocó que muchas agencias gubernamentales reconsideraran la forma en que estaban desplegando el voto electrónico.

La charla de Jack es controvertida. Juniper lo sacó en el último minuto antes de la conferencia Black Hat del año pasado, a petición de los fabricantes de cajeros automáticos. Pero ahora, trabajando para una nueva compañía, IOActive, Jack planea mostrar varias formas nuevas de atacar cajeros automáticos, incluidos los ataques remotos. También revelará lo que él llama un "rootkit ATM multiplataforma", de acuerdo con una descripción de su charla.

"Siempre me gustó la escena en 'Terminator 2' donde John Connor camina hacia un cajero automático, interfaces su Atari para el lector de tarjetas y recupera efectivo de la máquina. Creo que tengo a ese chico latido ", escribe Jack en su resumen.

2) DNS

Hace dos años, Dan Kaminsky fue noticia en todo el mundo al descubrir un defecto en el DNS (Sistema de nombres de dominio) utilizado para buscar las direcciones de las computadoras en Internet. Este año, Kaminsky habla nuevamente en Black Hat, esta vez en herramientas de seguridad web. Pero también ha sido invitado a participar en una conferencia de prensa donde él y representantes de ICANN (Corporación de Internet para Nombres y Números Asignados) y VeriSign discutirán las Extensiones de Seguridad del Sistema de Nombres de Dominio (DNSSEC) - una nueva forma de hacer DNS que proporciona un nivel de confianza de que las computadoras conectadas a Internet son lo que realmente dicen ser.

Hace aproximadamente dos semanas, la ICANN presidió la primera firma criptográfica de un servidor raíz con una clave DNSSEC. DNSSEC aún no es ampliamente compatible, pero la ICANN espera que al firmar una zona raíz, estimule a otros a admitir el protocolo en su servidor y software cliente.

Investigadores como Kaminsky dicen que la adopción generalizada de DNSSEC podría frenar un montón de ataques en línea. "Hemos estado viendo cómo DNSSEC abordará no solo las vulnerabilidades del DNS, sino también algunas de las vulnerabilidades centrales que tenemos en seguridad", dijo Kaminsky en una entrevista. "No vamos a resolver todos esos problemas con DNSSEC … pero hay toda una clase de vulnerabilidades de autenticación que DNSSEC sí soluciona".

3) Errores móviles

¡Libera el Kraken! Eso es lo que los investigadores de seguridad de GSM van a hacer en Black Hat este año, en lo que en última instancia podría convertirse en un gran dolor de cabeza para los operadores de redes móviles de EE. UU. Y Europa. Kraken es un software de cracking GSM de código abierto que acaba de completarse. Combinado con algunas tablas rainbow altamente optimizadas (listas de códigos que ayudan a acelerar el proceso de descifrado de encriptación), le da a los hackers una forma de descifrar llamadas y mensajes GSM.

Lo que Kraken no hace es sacar las llamadas del aire. Pero hay otro proyecto de detección de GSM, llamado AirProbe, que busca hacer eso realidad. Los investigadores que trabajan en estas herramientas dicen que quieren mostrar a los usuarios habituales lo que los espías y los geeks de seguridad conocen desde hace mucho tiempo: que el algoritmo de cifrado A5 / 1 utilizado por los operadores como T-Mobile y AT & T es débil y puede ser fácilmente roto.

¿Pero por qué romper el cifrado GSM cuando simplemente puedes engañar a los teléfonos para que se conecten con una estación base falsa y luego descartar la encriptación? Eso es exactamente lo que Chris Paget planea demo en Las Vegas esta semana, donde dice que invitará a los asistentes a la conferencia a interceptar sus llamadas. Debería ser una demostración divertida, si es legal. Paget cree que sí. También ha desarrollado lo que llama el "récord mundial" para leer etiquetas RFID a una distancia de cientos de metros, que discutirá en una charla de Black Hat.

Otro investigador, conocido solo como The Grugq, hablará sobre la construcción de estaciones base y componentes maliciosos de redes GSM en dispositivos móviles. "Confíe en nosotros, * querrá * apagar su teléfono durante la duración de esta charla", se lee en la descripción de la charla.

Y en una semana que comenzó con la admisión de Citibank de que había arruinado la seguridad en su La aplicación de iPhone, otra charla para ver será "App Atttack" de Lookout Security, que arrojará luz sobre las inseguridades en las aplicaciones móviles.

4) Pesadilla industrial

Siemens se dio cuenta este mes de cómo es responder a un ataque SCADA (control de supervisión y adquisición de datos) en el mundo real, cuando alguien desata un gusano sofisticado que ataca sus sistemas de gestión basados ​​en Windows. Pero los expertos de SCADA dicen que Siemens no tuvo suerte, y que este tipo de ataque fácilmente podría haber derrotado a cualquiera de los competidores de la compañía también. De hecho, hay muchos problemas de seguridad que plagan los sistemas de control industrial, tantos que están obteniendo su propia pista en Black Hat este año.

En los últimos 10 años, Jonathan Pollet, el fundador de Red Tiger Security, ha realizado evaluaciones de seguridad en más de 120 sistemas SCADA, y hablará sobre dónde es más probable que surjan las vulnerabilidades de seguridad. Pollet dice que muchas redes han desarrollado una especie de tierra de nadie entre las TI y los sistemas industriales: computadoras que a menudo están en riesgo porque nadie parece tomar posesión completa de ellas.

Pollet hablará sobre dónde aparecen estos errores. la infraestructura, su compañía ha recopilado datos sobre 38,000 vulnerabilidades, y los tipos de exploits que se han escrito para ellos. "No tienes que esperar vulnerabilidades de día cero", dijo. "Ya hay muchos exploits".

5) ¡Comodín!

¿Va a volver el grupo Zero for Owned, que hackeó a Dan Kaminsky y otros en la víspera del programa de la semana pasada? ¿Los federales o AT & T detendrán a Paget de jugar con GSM? ¿Un irritado vendedor de ATM lanzará un desafío legal de último minuto a la charla de Barnaby Jack? ¿El concurso de Ingeniería Social de Defcon hará que alguien en la industria de servicios financieros arruine una junta? ¿Un enjambre de abejas infestará la piscina en la Riviera? Quién sabe, pero en Las Vegas, espere lo inesperado.

Robert McMillan cubre las últimas noticias de seguridad informática y tecnología general para The IDG News Service. Sigue a Robert en Twitter en @bobmcmillan. La dirección de correo electrónico de Robert es [email protected]