ブラックハット20周年 – 簡単な振り返り

F5 の主任脅威研究エバンジェリストが記者の立場から、最も古いハッカー カンファレンスの 1 つから得た洞察をお届けします。

Black Hat は今年で 20 年目を迎えます。古いように聞こえますが、このことは私たちの業界がいかに若いかを示しているだけです。 もしブラックハットが人間だったら、イベントが開催される都市でギャンブルをするにはまだ若すぎるだろう。 今年の詳細に入る前に、当時と現在を比較するためにいくつかのイベントの数字を見てみましょう。

基調講演 #1

Black Hat と DEF CON の創設者である Jeff Moss (別名 Dark Tangent) は、主に思い出を振り返る基調講演を行いました。 それ自体は何も悪いことではないが、彼の基調講演では将来のビジョンがほとんど伝えられなかった。 彼は、私たち「年長」のサイバーベテランに、次世代のホワイトハットを指導して、私たち全員が人材を雇用できるように呼びかけました。  その意見に完全に同意します。子供たちのために準備してきたハッキング 101 クラスを終わらせたくなりました...

基調講演 #2

アレックス・ステイモスはいくつかの点で正しいことをしている。 FacebookのCISOとして、彼はUSENIXで発表された最優秀防御研究に100万ドルの賞金を贈呈しています。また、若者がサイバーセキュリティに興味を持ち、インターネットバグバウンティプロジェクトでデジタルインフラを強化するための教育プログラム[1]にも資金援助しています。[2]彼はFacebookが関与している多くのアウトリーチプログラムの宣伝に少しばかり時間を費やしすぎたため、多くの人が無視できない問題だと思っていた、フェイクニュースやネットいじめなどFacebookに関連する「人的虐待」問題への取り組みには十分な時間を費やしませんでした。

ゼロデイはどこにありますか?

Black Hat に関するよくある不満の 1 つは、「ゼロデイはどこだ?」というものです。 Day Zero の夜間イベントで講演した Daniel Cuthbert 氏によると、今年はこれまでのどの Black Hat カンファレンスよりも多くのゼロデイ攻撃が発生したそうです。

一例を挙げると、ラスベガスに到着したとき、iPhone は最新バージョンの iOS 10.3.3 にアップデートしたいと丁寧に通知してきました。 ハッカー会議でコンピューター、さらには携帯電話を更新するのは、私にとっては二度考えてしまうことです。

しかし、このスマートフォンのアップデートは、Black Hat 2017 で公開されたゼロデイ脆弱性の直接的な結果です。 「Broadpwn」脆弱性は、iOS と Android の両方の端末で使用されている Broadcom BCM43xx チップセットに影響します。 ということで、今年最大のゼロデイ攻撃の 1 つをカンファレンスで取り上げてくれた Black Hat に敬意を表します。

全体的な雰囲気

Black Hat 2017 のブリーフィングに公式テーマがあったとすれば、それは監視でした。 あるいは、もっと正確に言えば、監視に対抗する方法です。 他に 2 つの Black Hat ゼロデイが公開されましたが、どちらもモバイル ネットワークの破壊に関係していました。 最初の「Ghost Telephonist」は、LTE ネットワークと 4G ネットワーク間のフォールバックで認証が欠落していることを悪用し、盗聴者が通話や SMS メッセージさえも傍受できるようにします。[3]

2 番目のモバイル脆弱性により、攻撃者 (プロキシとしてカスタム構築された 1,500 ドルの Stingray のようなデバイスを使用している) は、モバイル プロトコルに欠落している別の認証手順を悪用して、モバイル ユーザーの位置を特定し、追跡できるようになります。[4]

私が最も気に入ったブリーフィングは「Hacking Serverless Runtimes」で、研究者の Andrew Krug 氏と Graham Jones 氏が、AWS Lambda 関数からシェルアウトして、他の人のマイクロサービス内でコードを実行する方法を説明しました。 [5] 面白い。

Krug 氏と Jones 氏はまた、誰かが docker コンテナを Lambda 関数内に埋め込む方法を見つけたという事実についても冗談を言った。[6 ] なぜそんなことをするのですか? それはばかげている！

Pwnie 賞: 2017 年のセキュリティ失敗に対する報奨

プニー 2017: 第11回「Pwnies」賞には、今年も素晴らしい作品がいくつか寄せられました。 ベスト サーバーサイド バグ賞は、The Equation Group (NSA ではありません) が獲得しました (笑)。この脆弱性は、Shadow Brokers (ロシアではありません) によって漏洩され、Lazarus Group (北朝鮮ではありません) によって兵器化されました (笑)。

最優秀バックドア賞は M.E. に贈られました。 ドク、カスペルスキーがウクライナの税制で発見しました。 クレジット: 「完全にロシアじゃないよ、ハハハ。」 最優秀暗号攻撃賞は、今年世界初の SHA1 衝突を強制した Google に贈られました。 そして、SystemD 論争は当然ながら「最もひどいベンダーの対応」の勝者となりました。

オーストラリア政府のマルコム・ターンブル首相は、ベンダーに対し政府のためにユーザーデータを復号化するよう要求したことで「最も壮大な失敗」賞を受賞した。[7]

アーセナル

Black Hat で見落とされがちなスペースの 1 つが、Arsenal です。 ここでは、オープンソースのセキュリティ愛好家が、皆さんを楽しませるためにツールのデモを行います。 すべてのツールが魅力的というわけではありませんが、ツールの実際のコード作成者と話をすることができます。 今年私が個人的に気に入ったのは、Tomer Zait の Pymultitor ツールです。 [8] これは、複数のTORプロセスを使用してログインページのIPベースのカウンターをバイパスできるようにするローカルプロキシです。 研究のためです。 Facebook アカウントを総当たり攻撃するためのものではありません。

今年は、小さな武器庫のワークステーションに 100 を超えるツールが展示されました。 Arsenal は十分に魅力的で、コミュニティ指向が強いため、Black Hat はそれをカンファレンスの一番上、一番後ろに詰め込むのではなく、もっと目立つ場所を提供するべきです。

それで...ブラックハットはまだ重要ですか?

この質問に答えるために、創設者の話に戻りましょう。 基調講演の中で、ジェフ・モスは、Black Hat ブリーフィングがカンファレンスとしては決して長く続くことはないだろうと思っていたことを回想しました。 しかし、20年間ほぼ一貫して成長を続けてきたBlack Hatは、軌道に乗り、その規模としてはかなりまともなセキュリティカンファレンスとして定着しつつあります。

参考文献

[1] https://codepath.com/

[2] https://internetbugbounty.org/

[3] https://www.blackhat.com/docs/us-17/thursday/us-17-Yuwei-Ghost-Telephonist-Link-Hijack-Exploitations-In-4G-LTE-CS-Fallback.pdf

[4] https://www.blackhat.com/docs/us-17/wednesday/us-17-Borgaonkar-New-Adventures-In-Spying-3G-And-4G-Users-Locate-Track-And-Monitor.pdf

[5] https://www.blackhat.com/docs/us-17/wednesday/us-17-Krug-Hacking-Severless-Runtimes.pdf

[6] https://hackernoon.com/how-did-i-hack-aws-lambda-to-run-docker-containers-7184dc47c09b

[7] http://www.huffingtonpost.com.au/2017/07/14/turnbull-vs-maths-how-do-you-snoop-on-encryption-without-ruining-it-for-everyone_a_23029275/

[8] https://github.com/realgam3/pymultitor