Autos pirateados, rifles y más: qué esperar en black hat 2015

VER TODAS LAS FOTOS EN LA GALERÍA

Con las violaciones de datos como parte del típico ciclo de noticias y Edward Snowden ahora es un nombre familiar, el público en general tiene un profundo interés en la seguridad digital. Y el mayor espectáculo de seguridad ofensiva es Black Hat, la conferencia en la que los piratas informáticos se codean con las cifras de la industria y el gobierno para mostrar los últimos ataques, ataques y vulnerabilidades.

Hackear todo

Solía ​​ser que solo las computadoras conectadas a Internet. Hoy en día todo el mundo tiene al menos un dispositivo conectado (teléfono o tableta) a mano. Todos estamos acostumbrados a la necesidad de un software antivirus y de seguridad en las PC, pero un buen número de consumidores simplemente no puede entender la necesidad de un software antivirus y de seguridad móvil. Aunque las computadoras de escritorio y los servidores siguen siendo los objetivos preferidos por los hackers en Black Hat, los dispositivos móviles se están convirtiendo en una parte cada vez más grande del espectáculo.

Una sesión de Black Hat describe una nueva técnica para obtener acceso de root a cualquier dispositivo Android. Otro se ampliará en el exploit Stagefright ya publicitado, que podría permitir a los atacantes hackear su teléfono con un mensaje de texto. Los teléfonos inteligentes han sido de particular interés para los hackers durante años debido a su ubicuidad y porque combinan una computadora móvil con varias radios inalámbricas. De hecho, las capacidades de red de los teléfonos a veces son más interesantes que el teléfono en sí. Una sesión sorprendente en Black Hat propone usar un teléfono antiguo para recopilar información electromagnética en computadoras cercanas.

VER TODAS LAS FOTOS EN LA GALERÍA

Se pone peor. Internet está en todo en estos días: automóviles, cerraduras de puertas, refrigeradores, incluso bombillas. Y muchos vendedores en esta nueva era de Internet de las Cosas no están pensando en la seguridad. El año pasado, hackers inteligentes mostraron cómo tomar el control de un termostato Nest en segundos. Utilizaron el dispositivo pirateado para ejecutar fondos animados, pero otros ataques podrían no ser tan agradables.

Es posible crear seguridad en el firmware, pero la práctica aún no es común. Al menos dos presentaciones en Black Hat demostrarán técnicas para tomar el control de un automóvil con capacidad para Internet. Otro señala las vulnerabilidades en los controladores lógicos programables (PLC) que utilizan Internet en las fábricas. Otras víctimas incluyen el lector de tarjetas de crédito Square, las bombas de gas e incluso un rifle con Linux. Tarjetas inteligentes y etiquetas de entrada RFID, terminales de pago NFC sin contacto, tarjetas SIM: todas estas tecnologías son artificiales y, por lo tanto, imperfectas. Los expertos en seguridad presentarán sus descubrimientos sobre vulnerabilidades en todas estas áreas.

Black Hat es donde sentirse mal es la norma y ser paranoico es una ventaja. ¿En qué otro lugar subirían al escenario el malware Mac OS X, las femtoceldas rebeldes y los ataques dirigidos a las comunicaciones por satélite? Si bien hay más sesiones relacionadas con dispositivos móviles e Internet de las cosas, Black Hat sigue siendo el destino para aprender sobre las vulnerabilidades de día cero. Y este año, se revelarán 32 días cero diferentes en una variedad de tecnologías, incluidos los sistemas de control móviles e industriales, dijo a eWEEK Steve Wylie, gerente general de Black Hat.

Los dispositivos terrestres no son los únicos objetivos. El año pasado, vimos hacks impresionantes de líneas aéreas y comunicaciones satelitales. En una demostración, un investigador tomó el control de una radio satelital y la convirtió en una máquina tragamonedas.

Antes de Black Hat 2015, los hacks de las aerolíneas volvieron a las noticias y los presentadores prometen ataques que también se centran en los satélites. Si bien los ataques a los dispositivos inteligentes cotidianos son una gran preocupación para el futuro, piezas de infraestructura digital costosas y esenciales están en órbita en este momento y también podrían estar en riesgo.

El escaparate del Arsenal de herramientas de seguridad generalmente no requiere el tipo de atención (o multitudes) que hacen las presentaciones en el escenario, pero ofrece un vistazo a algunas herramientas increíbles: el Marco SpeedPhishing para incorporar capacidades de phishing de correo electrónico como parte de una prueba de penetración, entorno de prueba de OWASP rellenado previamente con aplicaciones vulnerables y una forma de ver cargas maliciosas en archivos PDF. ¡Es hora de actualizar ese kit de herramientas de seguridad!

Beyond Cyber

La comunidad de geeks y aficionados a la seguridad ha crecido mucho en los últimos años. Es mucho más profesional, y si el Black Hat de este año es una indicación, mucho más político. Eso puede ser solo una cuestión de eventos actuales, la seguridad cibernética es un tema recurrente en Capitol Hill, después de todo, o puede reflejar el creciente apetito de la comunidad por el activismo y una mayor conciencia. Tenemos sesiones del gobierno, incluidos Akshan Soltani, tecnólogo jefe de la Comisión Federal de Comercio, y Leonard Bailey, del Departamento de Justicia.

Pero todavía hay mucho sentimiento antigubernamental, como una sesión criticando los métodos de la FTC para regular la ciberseguridad, una descripción general de la cartera de herramientas de la Agencia de Seguridad Nacional y una mesa redonda sobre el Acuerdo de Wassenaar, un tratado internacional que regula los acuerdos convencionales y armas cibernéticas

• El pirateo remoto de automóviles ahora es una realidad El pirateo remoto de automóviles ahora es una realidad
• No hay (casi) nada que puedas hacer con Stagefright No hay (casi) nada que puedas hacer con Stagefright
• Rifle de francotirador inteligente vulnerable a los hacks Rifle de francotirador inteligente vulnerable a los hacks

Aunque las filtraciones de Edward Snowden revelaron cuán abierta es realmente nuestra cultura moderna de la información, sus revelaciones parecen notablemente ausentes en los paneles y debates de este año. Solo una sesión, diseñada como debate, abordará directamente el problema. ¿Eso significa que Snowden fue un destello en la sartén? Lejos de ahi. Las sesiones cubrirán el malware y las armas cibernéticas estatales diseñadas para atacar la infraestructura. Estas sesiones podrían haber ocurrido incluso si Snowden hubiera permanecido en silencio, pero sus filtraciones agregan una gran urgencia a estos temas.

Por mucho que Black Hat sea un patio de recreo para los hackers, también es donde el gobierno, la industria y las personas comparten las ideas que dan forma a la seguridad digital. Y aunque algunos de los descubrimientos que se estrenan en Black Hat podrían acaparar los titulares, otros podrían alentar a las empresas y a las personas a pensar más detenidamente sobre el mundo digital en el que quieren vivir.