PHDays IV पर नया: जीमेल को हैक कैसे करें, टीवी पर जासूसी, किसी भी फोन कॉल और ड्रॉप वर्डप्रेस पर एवेस्डड्रॉप

प्रभावशाली उपयोगकर्ताओं के हैकिंग ईमेल से संबंधित जोर से खुलासे और घोटाले हमेशा नेटवर्क में आए पत्राचार की प्रामाणिकता को लेकर विवादों के साथ होते हैं। अब तक, यह माना जाता था कि सही DKIM हस्ताक्षर स्पष्ट रूप से पत्राचार के लेखक को इंगित करता है। लेकिन क्या यह एक सौ प्रतिशत इस प्रमाणीकरण तंत्र पर भरोसा करने लायक है? Google, Yandex और Mail.Ru सेवाओं में कमजोरियाँ, टेलीविज़न की असुरक्षा और एआरएम-आधारित उपकरणों की अपर्याप्तता को 21 और 22 मई को मॉस्को में पॉजिटिव हैक डेज़ IV IV फोरम में व्यावहारिक सुरक्षा पर रिपोर्ट किया जाएगा।

सुरक्षित प्रोटोकॉल असुरक्षित हैं

Google, Yandex और Mail.Ru सेवाओं के कुल दर्शक एक अरब उपयोगकर्ताओं से संपर्क कर रहे हैं, दुनिया भर के सैकड़ों विशेषज्ञ उनकी सुरक्षा का विश्लेषण करने में शामिल हैं, लेकिन कोई भी कमजोरियों से प्रतिरक्षा नहीं करता है। रूसी "पुराने स्कूल" के सबसे प्रतिभाशाली प्रतिनिधियों में से एक, Securityvulns.ru के संस्थापक और 3proxy प्रॉक्सी सर्वर, व्लादिमीर डबरोविन (उपनाम 3APA3A के तहत जाना जाता है) के डेवलपर प्रोटोकॉल का उपयोग करने में त्रुटियों के बारे में बात करेंगे - डेटा की गोपनीयता, अखंडता और एन्क्रिप्शन सुनिश्चित करते हैं - जैसा कि प्रसिद्ध (मामले में) एसएसएल / टीएलएस और प्याज रूटिंग), और बहुत ताज़ा के बारे में। मिठाई के लिए, व्लादिमीर ईमेल सहित विभिन्न सेवाओं में जानकारी प्राप्त करने और बदलने के उद्देश्य से नए हमले वैक्टर पेश करेगा।

स्मार्ट टीवी - अपने घर में स्मार्ट जासूस

हमारे जीवन को और अधिक पूर्ण बनाने के लिए टेलीविजन बनाया गया था, लेकिन किसी को भी संदेह नहीं था कि KVN-49 रिसीवर के वारिस, जिसमें आसुत जल डाला गया था, अपने स्वयं के ऑपरेटिंग सिस्टम, कैमरा, माइक्रोफोन, ब्राउज़र और अनुप्रयोगों के साथ कंप्यूटर में लपेटा जाएगा। कहने की जरूरत नहीं कि हमारे निजी जीवन का एक और दरवाजा तुरंत साइबर अपराधियों को तोड़ने के लिए शुरू हुआ? ..?

Donato Ferrante और Luigi Auriemma , ReVuln के संस्थापक और SCADA सिस्टम और मल्टीप्लेयर गेम में प्रसिद्ध भेद्यता शिकारी, स्मार्ट टीवी तकनीक की कमजोरियों के बारे में बात करते हैं जो हमलावरों के लिए रुचि रखते हैं और टीवी पर खोजे गए कमजोरियों का प्रदर्शन करते हैं। विभिन्न निर्माताओं से स्मार्ट टीवी।

एक उदाहरण के रूप में एंड्रॉइड का उपयोग करके एआरएम कमजोरियों का शोषण

लैपटॉप के साथ सशस्त्र, अकीम जाखड़ कार्यशाला में भाग लेने वाले, एआरएम सुरक्षा के मुद्दों पर सिर उठाएंगे। Payatu टेक्नोलॉजीज के शोधकर्ता और नुल्ल्कन सम्मेलन के संस्थापकों में से एक श्रोताओं को निम्न-स्तरीय प्रोग्रामिंग नरक के सभी हलकों में नेतृत्व करेगा: एआरएम वास्तुकला में विधानसभा से, शेल कोड लिखने के माध्यम से, पिछले बफर ओवरफ्लो और रिवर्स इंजीनियरिंग से कोड इंजेक्शन तक।

व्यावहारिक बिंदुओं पर जोर सभी को एआरएम में असेंबली के साथ सहज होने और यह पता लगाने की अनुमति देगा कि एआरएम पर आधारित लिनक्स-आधारित सिस्टम में कमजोरियों का फायदा उठाने के लिए क्या प्रक्रियाएं शामिल हैं। प्रयोगों के लिए परीक्षण मैदान के रूप में एंड्रॉइड प्लेटफ़ॉर्म को चुनना सबसे लोकप्रिय मोबाइल ओएस में विकास के सिद्धांतों और सुरक्षात्मक तंत्रों का एक विचार प्राप्त करने का अवसर प्रदान करेगा।

ग्लोब के दूसरी तरफ एक व्यक्ति पर छिपकर बात कैसे करें

हाल ही में, इंटरनेट पर और यहां तक ​​कि टेलीविजन चैनलों की हवा पर टेलीफोन वार्तालापों के रिकॉर्ड हैं, जो स्पष्ट रूप से ग्राहकों की जानकारी के बिना प्राप्त हुए हैं। हम में से कई को बहुत अजीब एसएमएस भी मिले - और फिर मोबाइल सेवाओं के लिए भारी बिल।

मोबाइल नेटवर्क की सूचना सुरक्षा में पॉजिटिव टेक्नॉलॉजी के विशेषज्ञ सर्गेई पूज़ानकोव, एक हमलावर की क्षमताओं पर विचार करेंगे, जिन्होंने टेलीकॉम ऑपरेटरों की पवित्रता तक पहुंच हासिल की है - एसएस 7 अलार्म सिस्टम। वह ग्राहक के गोपनीय डेटा और उसकी भौगोलिक स्थिति का खुलासा करने, कनेक्टेड सेवाओं के सेट को बदलने, कॉल अग्रेषित करने, अनधिकृत "वॉडिंग" को वॉइस चैनल में तीसरे पक्ष को दिखाने के उद्देश्य से एल्गोरिदम के बारे में बात करेगा। सभी हमलों को प्रलेखित सिग्नलिंग संदेशों का उपयोग करके कार्यान्वित किया जाता है। रिपोर्ट में ऐसे हमलों के खिलाफ सक्रिय रक्षा के तरीकों और सिग्नलिंग नेटवर्क कमजोरियों से संबंधित घटनाओं की जांच के तरीकों का भी वर्णन किया जाएगा।

Moloch एक अन्वेषक के रूप में

हजारों साल पहले, प्राचीन देवता मोलोच के सम्मान में मानव बलिदान हुए थे। खुले, अत्यधिक स्केलेबल मोलोच पैकेट कैप्चर सिस्टम के मामले में, चीजें इतनी रक्तहीन नहीं हैं (हालांकि हमलावर इससे असहमत हो सकते हैं)। प्रणाली समझौता की घटनाओं की जांच के लिए एक उपकरण के रूप में कार्य करती है, क्योंकि यह वास्तविक समय में यातायात को पकड़ सकती है। Moloch का उपयोग अनुसंधान उद्देश्यों (मैलवेयर ट्रैफ़िक, शोषण या स्कैन ट्रैफ़िक) के लिए बड़े PCAP रिपॉजिटरी के साथ खोज और बातचीत करने के लिए भी किया जाता है। मोलोच एपीआई विश्लेषण को गति देने के लिए एसईआईएम और अन्य उपकरणों के साथ एकीकृत करना आसान बनाता है।

एंडी विक और ओवेन मिलर एओएल के सीईआरटी के सदस्य हैं। अपने हाथों की प्रयोगशाला में प्रतिभागी अपने स्वयं के आभासी मशीनों पर मोलोच इंस्टेंसेस स्थापित करने में सक्षम होंगे और सीखेंगे कि एओएल अपने घुसपैठ से बचने के लिए सांत्वना अलर्ट और SEIM (Sguil, ArcSight) को एकीकृत करके अन्य घुसपैठ का पता लगाने वाली प्रणालियों (Suricata, Snort) के साथ संयोजन में Moloch का उपयोग करता है। , सामान्य रूप से उपयोगकर्ता और इंटरनेट। शोधकर्ता यह भी प्रदर्शित करेंगे कि कैसे मोलोच PHDays CTF प्रतियोगिता नेटवर्क के ट्रैफ़िक को पकड़ता है और सभी घटनाओं का विवरण देता है।

यूरोप में औद्योगिक और बुनियादी सुविधाओं की सुरक्षा

हाल के वर्षों की घटनाओं, 11 सितंबर के हमलों के साथ शुरू होने और विकीलीक्स और स्टक्सनेट के साथ समाप्त होने के कारण, विभिन्न देशों की सरकारों ने महत्वपूर्ण इन्फ्रास्ट्रक्चर की रक्षा के लिए राष्ट्रीय साइबर सुरक्षा रणनीतियों का विकास शुरू किया है।
स्पैनिश सेंटर फॉर इंडस्ट्रियल साइबरेरसिटी में अनुसंधान विभाग के प्रमुख इग्नासियो पेरेड्स इस बात से आश्वस्त हैं कि यूरोप में हजारों-हजारों विनिर्माण बुनियादी ढांचे का जोखिम है। वह औद्योगिक और कॉर्पोरेट प्रणालियों के तेजी से अभिसरण, इस प्रक्रिया से जुड़े जोखिमों और तत्काल प्रतिवादों पर एक रिपोर्ट पेश करेंगे जिन्हें यूरोपीय राज्यों की सुरक्षा सुनिश्चित करने के लिए लिया जाना चाहिए।

WordPress सुरक्षा फिर से

दुनिया में सभी साइटों का पांचवां (19%) वर्डप्रेस द्वारा संचालित है, इसलिए यह आश्चर्यजनक नहीं है कि इस सामग्री प्रबंधन प्रणाली की सुरक्षा का अत्यधिक महत्व है। हालांकि, खुले स्रोत कोड और सूचना सुरक्षा के क्षेत्र में शोधकर्ताओं की नियमित सहायता के बावजूद, इस सीएमएस में गंभीर कीड़े और कमजोरियां अभी भी पाई जाती हैं।

बेल्जियम के टॉम वैन गोएथेम, पीएचडी के IV पर कैथोलिक विश्वविद्यालय के स्नातक छात्र, ने कहा कि कैसे अप्रत्याशित MySQL व्यवहार वर्डप्रेस कोर में PHP ऑब्जेक्ट इंजेक्शन भेद्यता का कारण बनता है और इस सुरक्षा त्रुटि का उपयोग करने के लिए परिदृश्य प्रदर्शित करता है।

हम आपको याद दिलाते हैं कि प्रतिभागियों के पहले समूह की घोषणा आधिकारिक वेबसाइट पर प्रकाशित की गई थी । व्यावहारिक सुरक्षा पर अंतर्राष्ट्रीय मंच पर अपने काम को प्रस्तुत करने के इच्छुक शोधकर्ताओं को जल्दी करने की आवश्यकता है: आवेदन 31 मार्च को समाप्त हो जाएंगे। हालांकि, PHDays IV में शामिल होने के अन्य तरीके हैं।