블랙햇 20주년 – 간단한 요약

F5의 수석 위협 연구 전도사가 기자 역할을 맡아 가장 오래된 해커 컨퍼런스 중 하나에서 얻은 통찰력을 여러분께 전달해드립니다.

블랙햇은 이제 20주년을 맞았습니다. 오래된 것처럼 들리지만, 그만큼 우리 업계가 얼마나 젊은지를 보여줍니다. 만약 블랙햇이 사람이었다면, 그 행사가 열리는 도시에서 도박을 하기에는 아직 너무 어렸을 것입니다. 올해의 세부 사항을 살펴보기에 앞서, 당시와 현재의 몇 가지 이벤트 숫자를 살펴보겠습니다.

기조연설 #1

Black Hat과 DEF CON의 창립자인 제프 모스(일명 Dark Tangent)는 주로 추억의 골목길을 산책하는 기조연설을 했습니다. 그게 잘못된 것은 아니지만, 그의 기조연설에서 미래에 대한 비전이 거의 전달되지 않았습니다. 그는 우리 "나이 든" 사이버 전문가들에게 차세대 백모자 전문가를 멘토링하도록 요청했습니다. 그래야 우리 모두가 고용할 사람을 가질 수 있을 것입니다.  그 감정에 전적으로 동의합니다. 그래서 저는 어린아이들을 위해 준비해 온 해킹 101 수업을 마치고 싶어졌습니다...

기조연설 #2

알렉스 스테이모스는 몇 가지 일을 제대로 하고 있습니다. Facebook의 CISO로서 그는 USENIX에서 발표된 최고의 방어 연구에 1,000,000달러의 상금을 제공합니다. 그는 또한 젊은이들이 사이버 보안에 입문하고 인터넷 버그 바운티 프로젝트[2]를 통해 디지털 인프라를 강화할 수 있도록 교육 프로그램[1]을 후원하고 있습니다. 그는 Facebook이 참여하는 많은 홍보 프로그램을 너무 오랫동안 선전했고, 많은 사람이 방 안의 코끼리라고 생각하는 가짜 뉴스와 사이버 괴롭힘과 같은 Facebook과 관련된 "인간 학대" 문제에 대처하는 데는 충분한 시간을 할애하지 않았습니다.

제로데이는 어디에 있는 거지, 쟤야?

Black Hat에 대한 일반적인 불만 중 하나는 "제로데이는 어디 있는 거야, 친구?"입니다. Day Zero 저녁 행사에서 발표한 다니엘 커스버트에 따르면, 올해는 지금까지의 어떤 Black Hat 컨퍼런스보다 제로데이가 더 많았습니다.

예를 들어, 제가 라스베가스에 도착했을 때, 제 아이폰은 정중하게 최신 버전인 iOS 10.3.3으로 업데이트하고 싶다고 알려주었습니다. 해커 컨퍼런스에서 컴퓨터나 휴대폰을 업데이트하는 건 두 번쯤 생각해 보는 일입니다.

하지만 이 휴대폰 업데이트는 2017년 Black Hat에서 공개된 제로데이의 직접적인 결과입니다. "Broadpwn" 취약점은 iOS와 Android 핸드셋 모두에서 사용되는 Broadcom BCM43xx 칩셋에 영향을 미칩니다. 그러니 Black Hat, 올해 가장 큰 제로데이 중 하나를 여러분의 컨퍼런스에서 선보인 데 대해 찬사를 보냅니다.

일반적인 분위기

2017년 블랙햇 브리핑에서 공식 주제가 있었다면, 그것은 감시였습니다. 아니, 더 정확하게 말하면 감시 방지 방법이겠죠. 두 개의 다른 Black Hat 제로데이가 공개되었는데, 둘 다 모바일 네트워크를 손상시키는 것과 관련이 있었습니다. 첫 번째인 "고스트 텔레포니스트(Ghost Telephonist)"는 LTE와 4G 네트워크 간 폴백에서 인증이 누락된 부분을 악용해 도청자가 통화는 물론 SMS 메시지까지 가로챌 수 있습니다.[3]

두 번째 모바일 취약점은 공격자(프록시로 1,500달러짜리 Stingray 유사 맞춤 장치를 사용)가 모바일 프로토콜의 또 다른 누락된 인증 단계를 악용하여 모바일 사용자를 찾고 추적할 수 있도록 합니다.[4]

제가 가장 좋아했던 브리핑은 "서버리스 런타임 해킹"이었는데, 연구원인 Andrew Krug와 Graham Jones가 AWS Lambda 함수에서 셸을 꺼내 다른 사람의 마이크로서비스 내에서 코드를 실행하는 방법을 보여주었습니다. [5] 웃기다.

크루그와 존스는 누군가가 람다 함수 내부에 도커 컨테이너를 내장하는 방법을 알아냈다는 사실에 대해 농담을 했습니다.6 ] 왜 그런 짓을 하시나요? 말도 안 돼요!

Pwnie 어워드: 2017년 보안 실패에 대한 보상

Pwnies 2017: 올해 제11회 연례 "Pwnies" 어워드에는 훌륭한 작품이 몇 개 출품되었습니다. 최우수 서버 측 버그 상은 The Equation Group(NSA가 전혀 아니죠, 하하)에게 돌아갔는데, Shadow Brokers(러시아가 전혀 아니죠, 하하)가 유출한 EternalBlue SMB 취약점과 Lazarus Group(북한이 전혀 아니죠, 하하)이 무기화한 취약점을 발견했기 때문입니다.

최고의 백도어 상은 M.E.에게 돌아갔습니다. 카스퍼스키가 우크라이나 세금 시스템에서 발견한 문서입니다. 출처: "전혀 러시아가 아니에요, 하하." 최고의 암호화 공격 부문 Pwnie는 올해 세계 최초로 SHA1 충돌을 강제한 Google에 돌아갔습니다. 그리고 SystemD 논란은 당연히 "가장 형편없는 공급업체 대응"이라는 칭호를 얻었습니다.

호주 정부의 맬컴 턴불은 정부를 위해 사용자 데이터를 해독하도록 공급업체에 요구한 공로로 최우수 실패상을 수상했습니다.[7]

아스날

블랙햇에서 종종 간과되는 공간 중 하나가 아스날이다. 이곳은 오픈소스 보안 취미인들이 여러분의 즐거움을 위해 자신의 도구를 시연하는 곳입니다. 모든 도구가 매력적인 것은 아니지만, 실제로 도구를 개발한 사람과 이야기를 나눌 수는 있죠. 올해 제가 개인적으로 가장 좋아한 도구는 토머 자이트의 Pymultitor 도구였습니다. [8] 로그인 페이지의 IP 기반 카운터를 우회할 수 있도록 여러 TOR 프로세스를 사용하는 로컬 프록시입니다. 알다시피, 연구를 위해서요. 페이스북 계정을 무차별 대입하는 행위는 금지되어 있습니다.

올해에는 100개가 넘는 도구가 작은 무기고 작업장에 전시되었습니다. 아스날은 매력적이고 커뮤니티 중심적이어서 블랙햇은 컨퍼런스 맨 위, 맨 뒤에 밀어 넣는 것보다는 더 눈에 띄는 공간을 제공해야 합니다.

그렇다면 블랙햇은 아직도 유효한가?

이에 답하려면 창업자에게로 돌아가보자. 제프 모스는 기조연설에서 블랙 햇 브리핑이 컨퍼런스로서 오래 지속되지 못할 것이라고 가정했던 일을 회상했습니다. 하지만 20년간 거의 꾸준히 성장한 끝에 Black Hat은 이제 본격화되어 규모에 비해 꽤 괜찮은 보안 컨퍼런스로 자리매김하고 있습니다.

참고문헌

[1] https://codepath.com/

[2] https://internetbugbounty.org/

[3] https://www.blackhat.com/docs/us-17/thursday/us-17-Yuwei-Ghost-Telephonist-Link-Hijack-Exploitations-In-4G-LTE-CS-Fallback.pdf

[4] https://www.blackhat.com/docs/us-17/wednesday/us-17-Borgaonkar-New-Adventures-In-Spying-3G-And-4G-Users-Locate-Track-And-Monitor.pdf

[5] https://www.blackhat.com/docs/us-17/wednesday/us-17-Krug-Hacking-Severless-Runtimes.pdf

[6] https://hackernoon.com/how-did-i-hack-aws-lambda-to-run-docker-containers-7184dc47c09b

[7] http://www.huffingtonpost.com.au/2017/07/14/turnbull-vs-maths-how-do-you-snoop-on-encryption-without-ruining-it-for-everyone_a_23029275/

[8] https://github.com/realgam3/pymultitor