2014中美信息安全大会回顾.docx

2014中美信息安全大会回顾概述2014年8月6日至7日，笔者参加了在美国拉斯维加斯举行的第十七届黑帽大会（Black Hat），紧接着在9月24-25日，又去北京参加了第二届中国互联网安全大会（以下简称ISC2）。两届大会从云安全、移动安全、物联网、应用安全、密码技术、无线安全等多个研究领域就最新的攻击技术与防御手段进行了深入探讨。两届大会上，我最深切的感受是全球对信息安全重要性的认可度越来越高，以及攻防两端研究人员展现出来的热情和创造性。笔者从事信息安全行业近十年，结合这两次会议上的精彩议题，和大家一起分享当前国内外信息安全的研究热点、研究方向和新思路。2014拉斯维加斯美国黑帽大会现场2014北京中国互联网安全大会现场精彩议题MY Google Glass See Your Passwords！（我的谷歌眼镜能看见你的密码！）这是一个在两届大会上都出现的报告，非常有意思。根据作者的描述，虽然我们无法直接看见用户在IPAD上输入的密码，但是可以根据手指在屏幕上点击时的相对位置估算出密码，而且成功率非常高。智能设备窥探隐私攻击步骤：录像。通过Google Glass、IPhone、智能手表或者网络摄像头等设备录制用户键入IPad密码的过程。预处理：利用物体跟踪技术识别手和触摸屏区域。识别触摸帧，也就是手指点上触摸屏那一帧。获取H矩阵，利用两个图像的四个角求解。非常重要的一步，将视频中的屏幕映射到真实的屏幕。定位触摸指尖。估计触摸区域。识别触摸键，找到触摸点，将触摸点映射到参考键盘就可以找到触摸键。攻击效果：2.5米远，利用网络摄像头，从前、左、右三个方向录像并攻击4位的密码。从结果可以看出，两次以内猜解出4位密码的成功率超过了90%。前左右平均第一次成功92.18%75.75%79.03%82.29%第二次成功93.75%89.39%90.32%91.14%作者在这里也给出了防御方法，智能隐私提升键盘—即不规则的键盘。这样即使黑客可以计算出位置，也无法获得正确的键值来破译密码。智能隐私提升键盘（布局不变，键值改变）加强的智能隐私提升键盘（布局、键值完全改变）点评：随着该技术的发展，精度会越来越高。现在很多场所都有监控摄像头，我们在这些环境里还能放心地登录我们的移动设备、登录网上银行、登录游戏吗？值得庆幸的是，现在很多银行的APP程序都采用了这种隐私提升键盘，说明大家已经开始关注这种攻击方法。2.2 Learn How to Control Every Room at a Luxury Hotel Remotely: The Dangers of Insecure Home Automation Deployment作者开场提了些假设：你曾经强迫酒店所有客人都只能看一个电视频道，或者让隔壁房间的窗帘在凌晨3点自动打开吗？深圳瑞吉酒店提供应用程序“数字管家”，通过IPad2控制房间的灯光、温度、音乐、电视、免打扰灯、窗帘等五花八门的房间活动。议题逆向分析了KNX/IP家庭自动化协议，讲述了其部署的漏洞。利用该漏洞执行了一个远程控制：关闭1280、1281、1283三个房间的电视。而且在整个攻击过程中，攻击者不需要在该酒店，甚至在国外就可以实施攻击。KNX是唯一的住宅和楼宇控制标准，2006年被批准为国际标准 ISO/IEC 14543-3，2007年被批准为中国标准GB/Z 20965。KNX如今被广泛用于住宅和楼宇控制中，包括照明、加热、通风、空调、监控、报警、用水控制、能源管理、测量以及其他众多领域，常见的产品有施耐德KNX智能照明系统、西门子家居与楼宇控制系统等。最初的KNX系统都是孤立的网络，可以在物理层保证系统的安全。随着IP网络作为KNX的骨干网，KNX系统暴露在互联网中。由于IP协议和数据链路层协议没有提供数据通信的安全保护机制，网络层安全协议IPsec、传输层安全协议TLS又不能直接应用到KNX系统中，KNX系统如今面临极大的安全威胁。电影《碟中谍4》里也有一个类似场景，特工黑进迪拜塔楼宇控制系统，就可以控制电梯的升降、起停。点评：这是物联网技术的典型应用，同样，安全问题又一次在设计之初被忽视了。2.3 A Survey of Remote Automotive Attack Surfaces这也是一个在两届大会上都有涉及的议题。在ISC2上，汽车行业专家郭孔辉院士还就车联网与汽车产业的变革作了专题演讲。会议上提到的汽车攻击实际上是利用软件无线电设备，把车钥匙的信号截取下来，然后通过其他设备，比如说手机或者一些能发出同样射频信号的设备将分析的数据信号发射出来，从而达到开启后备箱、开启车门的效果。这种攻击主要是针对早期的汽车，它的控制信号是固定的。现在的汽车用的是一种滚动版的解锁，每次发射的信号不一样（有一定范围，