ब्लैकहैट ईयू 2012 सम्मेलन से रिपोर्ट

सूचना सुरक्षा की दुनिया में, तकनीकी और नहीं तो सूचना सुरक्षा की समस्याओं के लिए समर्पित सम्मेलनों का एक पूरा गुच्छा रहे हैं। यदि हम संयुक्त राज्य अमेरिका के बारे में बात करते हैं, तो, निश्चित रूप से, हर कोई ब्लैकहैट और डेफकॉन जैसे राक्षसों के बारे में जानता है। यूरोप में भी, बहुत सारे सम्मेलन हैं, जिनके बीच में मैं हैकइनबॉक्स, एक ही ब्लैकहैट, के साथ-साथ अन्य छोटे, स्थानीय लोगों को भी बाहर कर दूंगा, लेकिन इसका मतलब यह नहीं है कि बुरे लोग कैओस कम्युनिकेशन कांग्रेस, कॉन्फिडेंस, दीपसेक, ब्रुकन, पीएच-न्यूट्रल हैं। मैं ब्लैकहैट के यूरोपीय हिस्से का दौरा करने में कामयाब रहा, जिसके बारे में, वास्तव में, मैं लिख रहा हूं।



इस वर्ष, ब्लैकहैट ईयू सम्मेलन मार्च के मध्य में एम्स्टर्डम में आयोजित किया गया था। यह सम्मेलन 14 मार्च से 16 मार्च तक तीन दिनों के लिए चला। इसके तीन ट्रैक थे। पहले दो ट्रैक 45 मिनट + सवालों की रिपोर्ट के साथ साधारण साइट थे। तीसरा ट्रैक कार्यशालाओं के लिए समर्पित था। इसके अतिरिक्त वहाँ भुगतान किया गया प्रशिक्षण। यह एक समृद्ध और समृद्ध कार्यक्रम है। स्पष्ट कारणों के लिए, मैं सभी रिपोर्टों और कार्यशालाओं में शामिल नहीं हो सका, और प्रशिक्षणों में आम तौर पर बहुत पैसा खर्च होता है। मैं उन लोगों पर ध्यान केंद्रित करूंगा, जहां मैं यात्रा करने में कामयाब रहा।

पहले स्पीकर (मुख्य नोट स्पीकर) खुद व्हिटफील्ड डिफी थे। यदि किसी को पता नहीं है, तो यह सार्वजनिक-कुंजी क्रिप्टोग्राफी (डिफी-हेलमैन-मर्कल एल्गोरिथम) के पिता में से एक है। उन्होंने जीवंत और दिलचस्प प्रदर्शन किया। कोई स्लाइड नहीं। उन्होंने सामान्य, लेकिन महत्वपूर्ण चीजों के बारे में बहुत सारी बातें कीं, जो पूरे उद्योग के लिए दिशा निर्धारित करती हैं, उदाहरण के लिए, चीजों को सुरक्षित रूप से कैसे करना है। वास्तव में, यह बयान वीडियो पर रिकॉर्ड किया गया है, इसलिए यदि कोई भी सूचना सुरक्षा के दर्शन में रुचि रखता है, तो कृपया इसे देखें।

दूसरी रिपोर्ट एक प्रसिद्ध कॉमरेड - शैरी शाह (SHREERAJ SHAH) की थी। विषय " शीर्ष 10 एचटीएमएल 5 खतरे " है। ऐसा लगता है कि एक उबाऊ नाम कुछ भी दिलचस्प नहीं है, लेकिन वास्तव में यह कोड में वास्तविक खतरों और संभावित त्रुटियों के बारे में एक बहुत ही आकर्षक कथा थी। इसके अलावा, यह सब वीडियो प्रदर्शनों के साथ था। व्यक्तिगत रूप से, मुझे लगा कि सभी खतरों को एक जगह इकट्ठा करना और दर्शकों को मौजूदा समस्याओं से स्पष्ट रूप से अवगत कराना एक बहुत ही सुविधाजनक तरीका था। IMHO, मैं इसे वेब डेवलपर्स और अन्य HTML प्रेमियों के लिए सुझाता हूं।

विन्सेन्ज़ो इज़्ज़ो की रिपोर्ट (जो कनाडा से PWN2OWN प्रतियोगिता से आई थी, जहाँ वे और उनके सहयोगी फ़ायरफ़ॉक्स ब्राउज़र को "सज़ा" दे सकते थे) अनुप्रयोगों के लिए "सैंडबॉक्स" को समर्पित था। एक बहुत ही दृश्य प्रस्तुति, वैध के साथ एक सुंदर पेड़ भी था और बहुत कॉल नहीं थे जो एक दलाल द्वारा नियंत्रित होते हैं, आदि। फिर, डेवलपर्स के लिए बेहद उपयोगी जानकारी।

वैसे, एक और दिलचस्प रिपोर्ट, पहले से ही अधिक आक्रामक, सैंडबॉक्सिंग के विषय के लिए समर्पित थी, जिसका शाब्दिक रूप से इस तरह नाम दिया गया था: "एडोब रीडर सैंडबॉक्स के साथ अपने आप को कैसे फ़िज़ करना है।" वक्ता: GUILLAUME LOVET और ZHENHUA LIU (मैं अनुवाद और विकृत नहीं करूँगा, क्योंकि मुझे यकीन नहीं है कि मैंने उनके नाम सही से सुने हैं)। वास्तव में, रिपोर्ट में वही शामिल है जिसका शीर्षक में उल्लेख किया गया था। हमने चर्चा की कि बग सीवीई -2011-1353 को पिछले साल कैसे पाया गया था और इस बग का उपयोग कैसे किया जा सकता है। यह सिर्फ सैंडबॉक्स की सीमाओं को दरकिनार करने में शामिल था। उनका निष्कर्ष: सैंडबॉक्स एक रामबाण नहीं है। प्यारा, शांत, दिलचस्प।

खैर, मैं प्रत्येक रिपोर्ट के बारे में बात नहीं करूंगा। सबसे पहले, यह किसी भी तरह से नहीं था, और दूसरी बात, अपने आप को देखने और देखने के लिए आसान था कि वहाँ क्या था: https://blackhat.com/html/bh-eu-12/bh-eu-12-archives.html

मैं निखिल मित्तल की एक कार्यशाला का भी उल्लेख करूंगा जिसमें प्रवेश परीक्षणों के दौरान टेन्सी जैसी चीजों के उपयोग के बारे में बताया गया है। संक्षेप में, टेनेसी एक सस्ता प्रोग्राम कंट्रोलर है जिसमें यूएसबी कनेक्टर होता है। इसलिए, दुष्ट चाचा इसे एक छिपाई डिवाइस के रूप में उपयोग करते हैं। दरअसल, हमने सेंट पीटर्सबर्ग में डीसीजी समूह की बैठकों में इस बारे में बात की थी , लेकिन निखिल ने पूरी कार्यशाला शुरू की। कैसे बनाएं, क्या करें, कैसे उपयोग करें आदि। इसके अलावा, उन्होंने लोड के एक पूरे बादल को लिखा, जैसे: वाई-फाई को उस तरह से पासवर्ड के साथ चालू करना, मीटरपरेटर (मेटास्प्लोइट से बैकडोर) को ऊपर उठाना। काफी मजेदार और रोमांचक है। खैर, आवेदन का विषय - यह सभी प्रकार की नीतियों और उपकरणों के साथ भंडारण और अन्य उपकरणों को जोड़ने के लिए मना किया गया है, केवल चूहों और कीबोर्ड (HID) को छोड़कर। और इस तरह के पीसी में टेनेसी को सम्मिलित करते हुए, हम मनमाने कोड को निष्पादित करते हैं और इसे वैसे भी संक्रमित करते हैं। यह स्पष्ट है कि समान राजनेता और उपकरण खुद को इससे बचा सकते हैं, लेकिन, फिर भी, यह एक वास्तविक खतरा है।

हमने निखिल के साथ भी खूब मस्ती की, और उसने मुझे भारतीय व्यंजनों की खुशियों के बारे में बताया। वह एक चतुर और दिलचस्प व्यक्ति है। इसके अलावा, मैंने हैक वर्ल्ड के ऐसे दिग्गजों के साथ पीटर वान यूखोट (कोरेलैंकर, www.corelan.be), दिमित्री स्किलारोव (बहुत दिलचस्प बातें बताई), फेलिक्स लिंडर और कई अन्य लोगों के साथ संवाद करने में कामयाब रहा। "स्थिति" के बावजूद माहौल काफी अनौपचारिक था। सम्मेलन के दूसरे दिन, एम्स्टर्डम सलाखों में से एक में एक IOActive पार्टी थी, जहां सभी को प्रायोजक की कीमत पर असीमित संख्या में पेय मिल सकते थे, जो निश्चित रूप से, केवल संचार और सकारात्मक भावनाओं को सुविधाजनक बनाता था। रिपोर्टों पर लौटते हुए, रूस से 2 रिपोर्टें आईं, जिनमें से एक थी - पेन टेस्टिंग और 0-डे के बारे में, साथ ही लोटस में बग्स और दिमित्री स्केलेरोव और एंड्री बेलेंको से दूसरी - दिमित्री भी इस रिपोर्ट को मास्को में PHD में बनाएगी, इसलिए सब खोया नहीं है। और मेरी रिपोर्ट अभी भी डीसीजी # 7812 बैठक में, साथ ही क्राको में कॉन्फिडेंस कॉन्फ्रेंस में, मई में भी जारी की जाएगी।

इसके अलावा, सम्मेलन में विकास और सॉफ्टवेयर का प्रदर्शन करने के लिए एक खंड था, जहां आंद्रेई लेबुनेट्स, एक अच्छे व्यक्ति और टूमेन स्टेट यूनिवर्सिटी के छात्र, ने अपने फ़ज़िंग फ्रेमवर्क का प्रदर्शन करते हुए बात की - विंडबिशर्क। काफी दिलचस्प बात है: विंडबग स्क्रिप्ट के लिए समर्थन और वास्तविक समय में अनुरोधों को संशोधित करने के साथ-साथ वायरशार्क में संरचना को प्रदर्शित करने के लिए एक नेटवर्क फ़ज़र। यहां तक ​​कि उन्होंने एमएस कोड में एक 0-दिन भी दिखाया, जो उनके फजर का उपयोग करते हुए पाया गया था।

संक्षेप में, मैं विदेशी सम्मेलनों में रूसी दर्शकों की शून्य उपस्थिति को नोट करना चाहूंगा। इसके कारणों को समझना आसान है लेकिन फिर भी कुछ आक्रामक। उसी समय, मैं यह नोट करना चाहूंगा कि यूक्रेनी आगंतुकों का हिस्सा स्थिर है - प्रति सम्मेलन एक व्यक्ति के क्षेत्र में। पिछले साल, यह कॉन्फिडेंस में था कि मैं Gleb से यूक्रेनी सूचना सुरक्षा समूह से मिला था, और इस साल मैं Nazar से सॉफ्टवेअर से मिला था। लोग ज्ञान और अनुभव के आदान-प्रदान के लिए तैयार हैं। यह प्रेरणादायक है!


फोटो में: एंड्री लेबनेट्स, मैं - d00kie , Nazar, दिमित्री स्किलारोव ।