كنفرانس Black Hat Security كه از مهم‌ترين رویدادهای تكنيكال دنياي امنيت است، امسال از ۲۱ تا ۲۶ جولاي در شهر لاس‌وگاس امريكا برگزار شد و همانند هر سال، بزرگان دنياي هك و امنيت در كنار شركت‌هاي تجاري، جديدترين دستاوردها و يافته‌هاي خود را در این کنفرانس معرفي و راهكارهاي جديدي براي مقابله با تهديدات امنيتي روي وب و دستگاه‌هاي مختلف ارائه کردند.
در كنفرانس امسال بيش از ۵۰ كارگاه آموزشي و نشست برگزار شده و به گفته حاضران نزديك به ۶۵۰۰ خبر يا محصول ارائه و عرضه شده است.
مهم‌ترين اتفاق روز افتتاحيه اين كنفرانس، سخنراني شاون هنري (Shawn Henry) از مديران سابق پلیس ایالات متحده و مشاور امنيتي و صاحب شركت تازه‌تأسيس CrowdStrike بود.
هنري در سخنراني خود بارها عنوان كرد كه مي‌توانيم شبكه‌هايي كاملاً امن و دفاعي در برابر هكرها بسازيم و بايد بيشتر از اين‌كه درباره هكرها صحبت كنيم، درباره چگونگي مقابله با هكرها تبادل‌نظر داشته باشيم.
سخنراني افتتاحيه، با عنوان «شما نمیتوانید چیزی را که نمی‌شناسید، امن کنید» و «شما نمیتوانید دارایی‌هایتان را از تهدیدها و مواردی که نمی‌شناسید، محافظت کنید» در سايت‌ها انعكاس و بازتاب زيادي داشته است.
از سخنراني افتتاحيه كه بگذريم، يكي از مهم‌ترين بخش‌هاي كنفرانس امنيتي كلاه‌سياه‌هاي امسال، درباره ويندوز ۸ مايكروسافت و نقاط آسيب‌پذير و چگونگي هك آن بود.
پژوهشگران و هكرهاي مختلفي در كارگاه‌هاي آموزشي كه توسط خود مايكروسافت برگزار مي‌شد، درباره ويژگي‌هاي امنيتي ويندوز ۸ و شكاف‌هاي امنيتي آن صحبت كردند.
براي نمونه، پيشرفت‌هايي كه ويندوز ۸ در زمينه محافظت از حافظه داشته است، از بسياري حملات جلوگيري مي‌كند و مي‌تواند تهديدهای امنيتي عليه اين سيستم‌عامل را به‌شدت كاهش دهد.
ابزارهاي كنترل از راه دور، مرورگر اينترنت‌اكسپلورر، به‌روزرساني ادوبي و فلش، پوشش نقاط ضعف ويندوز ۷، افزايش امضاهاي ديجيتالي مايكروسافت در كنار رمزنگاري، XML و اخطارهاي سمت كاربران، عناوین مباحثي بود كه در كارگاه‌هاي آموزشي و ارائه‌های مربوط به ويندوز ۸ مورد بحث قرار گرفتند.
اتفاق مهم ديگر، پنل حريم خصوصي و امنيت كاربران با حضور پنج كارشناس برجسته اين حوزه جف ماس (Jeff Moss) بنيان‌گذار كنفرانس Black Hat و مدير شركت ICANN، آدام شوستك (Adam Shostack) از مايكروسافت، جنيفر گرانيك (Jennifer Granick) از دانشكده حقوق دانشگاه استنفورد، بروس اشنير (Bruce Schneier) از شركت BT و ماركوس رانوم (Marcus Ranum) از شركت امنيتي Tenable بود.
ماوس در اين نشست گفت: «من از گوگل بيشتر از دولت‌ها مي‌ترسم.»
خبر مهم ديگر اين‌كه محققي به نام چما آلونسو (Chema Alonso) از اسپانيا توانسته يك پروكسي سرور بسازد كه تمامي فايل‌هاي جاوااسكريپت سمت سرور و فايل‌هايي را كه كاربران مورد استفاده قرار می‌دهند، آلوده كند.
كافي است به اين نرم‌افزار، فهرستي از سرورها داده شود تا تمامي فايل‌هاي جاوا اسكريپت روي آنها را آلوده كند و در نتيجه در يك لحظه چندين هزار كامپيوتر آلوده شوند.
اين پروكسي سرور مي‌تواند از بيش از چهار هزار روش براي آلوده‌كردن فايل‌هاي جاوا اسكريپت استفاده كند.
شركت اپل پس از انتشار يك White Paper در ماه مي، چندين سخنران نيز راهي اين كنفرانس كرده بود تا درباره معماري امنيتي سيستم‌عامل iOS صحبت كنند.
دالاس دو آتلی (Dallas De Atley) مدير بخش پلتفرم امنيتي اپل، خبرهاي خوشي به حاضران در كنفرانس داد و گفت اپل از فناوري‌هاي Sandboxing، Reduced Privileges و رمزنگاري و امضاي ديجيتالي براي كدهاي بخش‌هاي مختلف iOS استفاده مي‌كند.
اين حركت اپل باعث خوشنودي كارشناسان امنيتي و هكرهاي حاضر در كنفرانس شد و نشاني از همكاري اين شركت با آنها براي ارتقای امنيت در محصولات اپل بود.
خبر جنجالي ديگر كنفرانس امنيتي Black Hat امسال مربوط به سخنراني جان فور فلين (John Four Flynn)، مدير امنيت سايت فيس‌بوك بود.
وی در این کنفرانس اعلام کرد که آزمایش و بررسي سيستم‌هاي IDS شركت‌هاي معروف روي فيس‌بوك با شكست مواجه شده است و به بیان ديگر، اين سيستم‌ها نمي‌توانند امنيت اين سايت را تأمين كنند.
IDS سيستم‌هاي كشف و شناسايي حملات هستند و مي‌توانند به مديران شبكه و سيستم خبر دهند كه يك تهديد در شبكه يا سرور در حال وقوع است تا آنها به سرعت وارد عمل شده و جلوي آن تهديد را بگيرند.
در كنفرانس امسال نسبت به سال گذشته، ابزارهاي آزمایش و نفوذ مبتني بر مهندسي‌اجتماعي و فيشينگ به‌طور محسوسي افزايش يافته بود و بسياري از شركت‌ها محصولاتي ارائه دادند كه به كاربران و شركت‌ها كمك مي‌كند تا حملات مبتني بر گمراه كردن كاربر و گول زدن آن را تشخيص دهند.
علت اين اتفاق افزايش اين نوع حملات در چند سال اخير است.
روهیت بلانی (Rohyt Belani) مديرعامل و مؤسس شركت HishMe در خلال سخنرانی خود با بيان اين‌كه آموزش و آگاهي كاربر بايد بخشي از راهبرد دفاع در برابر حملات فيشينگ باشد، تأکید کرد که در اين زمينه نياز به ابزار داريم.
به عنوان مثال، تشخيص ايميل‌هاي جعلي براي بسياري از كاربران مشكل و شايد ناممكن است و در اين شرايط ابزارهاي ضدفيشينگ و مهندسي اجتماعي بايد وارد عمل شوند و نگذارند كه كاربران، ايميل‌هاي جعلي با آدرس‌هاي مشكوك و نامعتبر را باز كرده و مطالعه کنند يا روي لينك‌هاي درون آنها كليك كنند.
در ادامه ارائه ابزارها و محصولات شركت‌ها بايد گفت كه ابزارهايي در اين كنفرانس ارائه شده است كه اگر فايروال‌هاي تحت وب WAF (سرنام Web application firewalls) دچار ضعف يا آسيب‌پذيري باشند، با بيش از ۱۵۰ روش امنيتي، جلوي نفوذ خرابكاران و تهديدات امنيتي را مي‌گيرند.
اين خبر براي مديران سايت‌ها بسيار خوب و اميدواركننده بود و آنها را از خريد فايروال‌هاي سخت‌افزاري با صرف هزينه‌هاي زياد بي‌نياز مي‌كند.
اين ابزارها حاصل مطالعات و تحقيقات ایوان ریستیک (Ivan Ristic) مدير شركت امنيتي Qualys و سازنده يكي از معروف‌ترين فايروال‌هاي تحت وب به نام ModSecurity Web است كه محبوبيت زيادي هم ميان شركت‌ها و كاربران دارد.
فايروال‌هاي تحت وب براي محافظت و ايمن‌سازي پروتكل‌هاي تحت وب و مقابله با حملاتي مانند SQL Injection طراحي مي‌شوند و با تحليل درخواست‌هاي سمت كاربر، به سرور اجازه پاسخ‌گويي مي‌دهند.
اما با وجود قدرتمند بودن برخي از اين فايروال‌ها، هكرها از روش‌هایی استفاده مي‌كنند كه كشف و شناسايي آن خارج از توان فايروال است و نمي‌توانند URLهاي مسموم يا تقلبی را تشخيص دهند.
ابزارهاي ارائه شده توسط شركت Qualys در اين شرايط مي‌توانند به فايروال‌ها كمك كنند و جلوي بسياري ديگر از نقاط ضعف آنها را بگيرند.
حوزه موبايل و دستگاه‌هاي همراه نيز در كنفرانس امسال پررنگ‌تر و جنجالي‌تر بود.
چون طبق گزارش‌هايي كه در يكي دو سال اخير توسط مؤسسات حوزه امنيت ارائه شده، هكرها از كامپيوترهاي دسكتاپ به سوي دستگاه‌هاي همراه تغيير هدف داده‌اند و تعداد بدافزارها و نرم‌افزارهاي مخرب روي سيستم‌عامل‌هايي مانند آندروئيد بسيار بيشتر شده است.
در اين كنفرانس روش‌هاي اتصال كاربران به اينترنت مانند 3G، GPRS، Fi-Wi و GSM بررسي شدند و نقاط ضعف هر يك و روش‌هاي مقابله با تهديدات و حملات موجود، مورد ارزيابي و تبادل‌نظر كارشناسان و هكرهاي حاضر در كنفرانس قرار گرفتند.
در اين جریان روش‌هايي مانند اسكن آدرس‌هاي IP دستگاه‌هاي همراه متصل به اينترنت يا تعبيه چيپ‌ست‌هاي سخت‌افزاري در تلفن‌های همراه و ديگر دستگاه‌هاي همراه، براي محافظت‌هاي سخت‌افزاري و مانيتورينگ ترافيك ورودي-خروجي سيستم ارتباطي ابزار همراه مطرح شدند كه هريك مزايا و معايب خاص خود را دارند.
مثلاً پژوهشگرانی از شركت ARM گوشي‌هاي اسمارت‌فوني به نام Smartphone Pen Test Framework را معرفي كردند كه مي‌توانند حملات عليه سيستم‌عامل يا نرم‌افزارهاي كاربردي نصب شده روي خود را تشخيص داده و جلوي وقوع آنها را بگيرند.
ARM از جمله شركت‌هاي سخت‌افزاري است كه به راهكارهاي مبتني بر سخت‌افزار براي ايجاد امنيت بيشتر دستگاه‌هاي همراه فكر مي‌كند و در حال آزمایش محصولات سخت‌افزاري است.
همچنين ابزارهاي مفهومي نيز از سوي برخي هكرها يا شركت‌هاي امنيتي ارائه شدند كه مي‌توانند جلوي حملات يا بدافزارهاي شناخته شده دنياي موبايل را بگيرند.
به هر حال، به نظر مي‌رسد ايمن‌سازي سيستم‌عامل‌هاي تلفن‌همراه و آموزش كاربران براي اتصال با دستگاه‌هاي همراه به اينترنت و آگاهي داشتن از اين‌كه اتصال به اينترنت به معنی در معرض خطر قرار گرفتن است، در اولويت قرار دارد.
NFC موضوع مهم بعدي Black Hat 2012 بود كه درباره مزايا و معايب آن سخنراني‌ها و كارگاه‌هاي آموزشي زيادي برگزار شد و البته صف مخالفان آن طولاني‌تر از موافقانش است.
كارشناسان امنيتي معتقدند که شركت‌هاي تجاري براي سود بيشتر و بازاريابي و تشويق مشتريان به خريد محصولات يا سرويس‌هاي‌شان دائم NFC را تبليغ مي‌كنند در حالي كه اصلاً به فكر امنيت آن نيستند و براي امن‌سازي آن، كمترين هزينه يا راهكاري را ارائه داده‌اند.
در همين كنفرانس چندين Webkit رونمايي شد كه به‌راحتي مي‌توانند ارتباطات NFC را اسكن كرده و اطلاعات تبادل شده از جمله شماره حساب و رمز عبور را نشان دهند.
هكرها به كاربران پيشنهاد مي‌كنند قابليت NFC گوشي موبايل خود را فعلاً خاموش كنند تا فكري براي امنيت آن شود.
نظرات شما عزیزان:
تبادل لینک هوشمند