Hva skal du se på Black Hat og Defcon?

Å prøve å forutsi de store nyhetene på denne ukens Black Hat og Defcon konferanser er ekstremt vanskelig, om ikke umulig. Vanligvis kommer de mest interessante historiene opp i siste øyeblikk - hackere har en tendens til å holde seg av med å avsløre de virkelig store snakkene fordi de ikke ønsker jittery advokater å slå dem ned. Og selv når du tror du vet hva som foregår, er det noen ganger som en av forestillingene skrider fremover for å gå på senter, som Defcon gjorde for tre år siden, da Dateline NBC-reporter Michelle Madigan ble løslatt av konferansen for å prøve å hilse filmskuespillere.

Black Hat, den mer corporate eventen, og den urolige søsterkonferansen, Defcon, holdes den ene etter den andre hvert år i Las Vegas. Årets Black Hat-konferanse er på onsdag og torsdag. Defcon går fredag ​​til søndag.

Så vent litt kaos i denne uken i Las Vegas. Forvent noen overraskelser. Hvis du er på besøk, forvent en bakrus. Men også se etter noen interessante sikkerhetshistorier om disse emnene:

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

1) Slår på ATM Jackpot

Årets mest etterlengtede snakk kommer fra Barnaby Jack, tidligere av Juniper Networks. Jack har spilt rundt med minibanker (automatiserte tellermaskiner) de siste årene og er klar til å snakke om noen av de feilene han har funnet i produktene. Vi vet ikke ennå hvis minibankene er sårbare - eller selv om produsentene vil bli avslørt - men minibanker er et grønt felt for sårbarhetsforskere.

Black Hat-konferansedirektør Jeff Moss sier at arbeidet med ATM-insekter minner om stemmemaskinundersøkelsen som kom ut for noen år siden - som viste alvorlige sikkerhetsproblemer i systemene og forårsaket mange offentlige etater å revurdere måten de rullet ut e-stemme på.

Jacks tale er kontroversielt. Juniper trakk det i siste øyeblikk foran forrige års Black Hat-konferanse, på forespørsel fra minibankmakere. Men nå jobber jeg for et nytt selskap, IOActive, Jack planlegger å vise flere nye måter å angripe minibanker, inkludert eksterne angrep. Han vil også avsløre hva han kaller en "multi-platform ATM rootkit", ifølge en beskrivelse av hans tale.

"Jeg har alltid likt scenen i" Terminator 2 "hvor John Connor går opp til en minibank, grensesnitt hans Atari til kortleseren og henter penger fra maskinen. Jeg tror jeg har det barnet, "skriver Jack i sin abstrakt.

2) DNS

For to år siden laget Dan Kaminsky overskrifter over hele verden ved å avdekke en feil i DNS (Domain Name System) brukes til å slå opp adressene til datamaskiner på Internett. I år snakker Kaminsky igjen på Black Hat - denne gangen på websikkerhetsverktøy. Men han har også blitt tappet til å delta på en pressekonferanse hvor han og representanter fra ICANN (Internet Corporation For Assigned Names and Numbers) og VeriSign vil diskutere DNSSECs Domenenavn System Security Extensions (DNSSEC) - en ny måte å gjøre DNS som gir et nivå av tillit om at datamaskiner som er koblet til Internett, er det de faktisk hevder å være.

For rundt to uker siden ledet ICANN den første kryptografiske signeringen av en rotserver med en DNSSEC-nøkkel. DNSSEC er ennå ikke mye støttet, men ICANN håper at ved å signere en rotsone, vil den anspore andre til å støtte protokollen i server- og klientprogramvaren.

Forskere som Kaminsky sier at utbredt adopsjon av DNSSEC kunne bremse en hel haug av online-angrep. "Vi har sett på hvordan DNSSEC skal behandle ikke bare DNS-sårbarheter, men noen av de kjernefeilene vi har i sikkerhet," sa Kaminsky i et intervju. "Vi skal ikke løse alle disse problemene med DNSSEC … men det er en hel klasse av godkjenningssårbarheter som DNSSEC adresserer."

3) Mobile bugs

Slip løs Kraken! Det er akkurat hva GSM-sikkerhetsforskere skal gjøre på Black Hat i år, i det som til slutt kan bli en stor hodepine for amerikanske og europeiske mobilnettoperatører. Kraken er åpen kildekode GSM-sprekkprogramvare som nettopp er fullført. Kombinert med noen svært optimaliserte regnbuebord (lister over koder som bidrar til raskere krypteringsprosessen), gir hackere en måte å dekryptere GSM-anrop og meldinger.

Hva Kraken ikke gjør er å trekke anropene ut av luft. Men det er et annet GSM-sniffing-prosjekt - kalt AirProbe - som ser ut til å gjøre det til en realitet. Forskerne som jobber med disse verktøyene sier at de vil vise vanlige brukere hvilke spioner og sikkerhetseksperter har lenge kjent: at A5 / 1-krypteringsalgoritmen som brukes av bærere som T-Mobile og AT & T er svak og kan være lett brutt.

Men hvorfor bryte GSM-kryptering når du bare kan lure telefoner til å koble til en falsk basestasjon og deretter slippe kryptering? Det er akkurat hva Chris Paget planlegger å demo i Las Vegas denne uken, der han sier at han vil invitere konferansedeltakere til å få samtalen deres avlyttet. Skal være en morsom demo, hvis det er lovlig. Paget tror det er. Han har også utviklet det han kaller "verdensrekord" for å lese RFID-tagger på avstand - hundrevis av meter - som han skal diskutere ved Black Hat-snakk.

En annen forsker, kun kjent som The Grugq, vil snakke om å bygge ondsinnede GSM-nettverksbasestasjoner og komponenter på mobile enheter. "Stol på oss, du vil * ønske * å slå av telefonen din i løpet av denne diskusjonen," forteller talens beskrivelse.

Og i en uke ble det startet med Citibanks innrømmelse om at det hadde ødelagt sikkerheten på sin iPhone app, et annet snakk om å se, vil være Lookout Security's App Atttack, som vil kaste lys over usikkerhet i mobile applikasjoner.

4) Industriell mareritt

Siemens har smakt denne måneden av hva det er å svare på en real-world SCADA (overvåkningskontroll og datainnsamling) angrep, når noen løsnet en sofistikert orm som angriper sine Windows-baserte styringssystemer. Men SCADA-eksperter sier at Siemens bare var uheldig, og at denne typen angrep lett kunne ha tatt ned noen av selskapets konkurrenter også. Faktisk er det mange sikkerhetsproblemer som plager industrielle kontrollsystemer - så mange at de får sitt eget spor på Black Hat i år.

I løpet av de siste 10 årene har Jonathan Pollet, grunnleggeren av Red Tiger Security, har utført sikkerhetsvurderinger på over 120 SCADA-systemer, og han vil snakke om hvor sikkerhetsproblemer mest sannsynlig vil kaste seg opp. Pollet sier at mange nettverk har utviklet en slags ingenmannsland mellom IT og industrielle systemer - datamaskiner som ofte er i fare fordi ingen egentlig synes å ha fullstendig eierskap til dem.

Pollet vil snakke om hvor disse feilene kommer opp i infrastrukturen - hans firma har samlet inn data om 38 000 sårbarheter - og hvilke typer utnyttelser som er skrevet for dem. "Du trenger ikke vente på nulldagssårbarheter," sa han. "Det er allerede mange utnytter der ute."

5) Wildcard!

Vil den Zero Owned-gruppen, som hacket Dan Kaminsky og andre på tærskelen til forrige ukes show? Vil feds eller AT & T stoppe Paget fra å rote med GSM? Vil en irat ATM-leverandør starte en siste øyeblikklig juridisk utfordring for Barnaby Jacks snakk? Vil Defcon sosialteknikkkonkurranse føre til at noen i finansbransjen bringer en pakning? Vil en bøllevære ødelegge bassenget ved Rivieraen? Hvem vet, men i Vegas, forventer det uventede.

Robert McMillan dekker datasikkerhet og generell teknologi som bryter nyheter for IDG News Service. Følg Robert på Twitter på @bobmcmillan. Roberts e-postadresse er [email protected]