Black Hat USA安全隐患盘点及黑客奥斯卡颁奖

【编者按】Black Hat USA 2014已于8月2-7日在拉斯维加斯举行，会议汇聚了大量的全球知名安全专家。Black Hat安全技术大会是世界上最能够了解未来安全趋势的信息峰会，每届会议都可以称得上安全解决方案提供商前行的指引。本年度重点关注的安全领域又有什么不同？一年一度的黑客奥斯卡奖项又花落谁家，这里一起盘点。

以下为译文：

作为业内知名的信息安全会议，Black Hat 2014为各类解决方案提供商定义了一个明确的方向。 资深安全专家，Beyond Trust CTO Marc Maiffret指出，新兴技术一般是安全研究员关注的重点，会议上，大量利用新服务（或产品）漏洞窃取资源或进行其他危险攻击的途径被揭发，产业因此可以尽早的进行调整。本文着重盘点第十八届Black Hat上被揭露的安全漏洞，其中十个足以改变当下安全解决方案提供商的产品布局，并产生深远影响。

1. 数据库安全隐患――历时长久的攻防战

David Litchfield，一位英国的安全研究员，知名于揭露Oracle、微软等公司RDBMS软件中的巨大漏洞和结构缺陷。在Black Hat 2014上，David展示了Oracle旗舰数据库管理系统中存在的新漏洞。

该漏洞基于Oracle新版数据库12c中大肆宣扬的功能“数据校订（data redaction）”，这个功能被设计用于保护敏感数据。演讲中，David表示数据校订功能内含有大量安全漏洞，攻击者可以利用这些漏洞来绕过安全特性，并查看社会保险号、信用卡号等敏感信息。David表示，除下虚假的安全感，这个功能对企业没有任何帮助。

2. 云安全隐患――影响的不只是可用性

阿根廷顾问公司Bonsai Information Security创始人Andres Riancho通过详细研究指出，配置错误和基本漏洞都可能泄露托管于云上的应用程序数据、账户凭证等信息。Andres演示了AWS云基础设施可能被利用访问账户凭证、日志文件，并最终窃取用户账号。他还开发了一个专门的工具，这个工具可以自动浏览元数据，为攻击者访问敏感资源提供重要线索。他提倡安全专家与开发者共同审视当下的架构，及做好未来项目使用IaaS资源时的准备。

3. 医疗设备隐患――需要重点对待的领域

随着微型、强大的嵌入式系统投入到胰岛素泵、心脏起搏器等医疗设备，这个领域的安全就必须得到重点关注，因为这些设备越来越多的连接到互联网，在Black Hat 2014上漏洞管理厂商Rapid7研究员Jay Radcliffe指出。

Jay认为，漏洞可能被用于针对高风险个体，如政治领袖等。Jay专注于医疗设备安全，并成功黑了自己的胰岛素泵。Jay认为，这些设备面对一个非常普遍的问题――安全软件更新，因此无法更好地防御数据泄露。

4. POS系统隐患――Chip-And-PIN漏洞

Crowdome安全研究员兼NCR Retail企业安全架构师Nir Valtman表示，零售终端系统正面临内存搜读（memory-scraping）恶意软件的威胁，他表示可以在当下POS系统上运行的内存搜读恶意软件已非常普遍，其中更有许多已在大量目标数据窃取行动中得以验证，这些软件涉及身份认证、信息检索等多个功能。Nir研究过市面上大多数的付费安全系统，致力降低它们对系统性能的影响，他表示，取代只从技术方面着手，为零售商提供更多的信息服务同样重要。

期间，在另一个Black Hat会话上，剑桥大学密码学专家Ross Anderson表示，美国零售商最终将全部使用Chip-And-PIN，但是这项技术同样拥有漏洞和局限性。

5. Email安全隐患――雅虎加入谷歌行列

低等级数据加密或者无力及过时的安全协议在会议上被研究员多次提起，但其中影响力最大的报告无疑来自雅虎，该公司宣布将为用户提供一种终端到终端的加密技术。Google于今年6月发布了这项技术，提供了一个浏览器插件来加密数据。

世界范围内的雅虎和谷歌云服务用户都将享受到该技术带来的隐私和安全保障，其主要针对Edward Snowden揭秘的美国政府监控行为。雅虎CIO Alex Stamos表示，这项技术将在2015年放出。

6. 汽车软件隐患――岌岌可危的产业

Charlie Miller及Chris Valasek指出，当下，汽车制造厂商为敏感软件添加越来越多的监视及触发器，导致了愈来愈多的安全隐患。同时，他们还公布了关于汽车网络数据的分析，并确认了20个风险最高的模型。

车辆正在增加愈来愈多的无线能力，这无疑让远程攻击变为可能。Charlie当下是Twitter的安全工程师，他表示，他们正在寻找安全防御最好的汽车厂商。他们发现，2014 Jeep Cherokee和2015 Cadillac Escalade的风险最高，而2006 Ford Fusion和2010 Range Rover Sport看起来最为安全。

除此之外，Qualsys的研究员Silvio Cesare还展示了智能钥匙安全系统的缺陷，只使用一个简单的工具就可以锁车、开车，或者打开汽车的后备箱。

7. OTA升级导致了一系列的安全隐患

Accuvant Labs研究员Mathew Solnik和Marc Blanchou指出，网络运营商和设备制造商在更新手机、平板等无线设备时，无线机制中往往存在安全漏洞。该实验室研究员表示攻击者可以劫持运营商的远程控制能力，并在广泛的设备管理协议中利用。

此外，研究人员还指出运营商管理网络性能工具Carrier IQ可以监控手机上的所有流量。同时，这个设备管理工具让手机更容易被攻击。该应用可以用于运行远程代码，并绕过操作系统的本地防御。在全球范围内，70%到90%的手机内部都存在这个设备管理软件，由于这个易受攻击的OMA-DM协议，其他的设备，如笔记本、无线热点、物联网设备等也都存在风险。

8. USB安全隐患――威胁指数直线上升

USB一直是大量恶意软件的传播媒介，但是安全研究员Karsten Nohl和Jakob Lell指出USB隐患当下已经更加危险，未来借助USB的攻击将更具威胁。研究员演示了如何借助攻击监视网络流量，以及恶意软件在启动过程中如何夺取控制权。USB攻击非常难以察觉，因为当其被连接到笔记本或台式机时，它通常会被作为一个新设备，而恶意软件设计者可以轻易利用窃取来的证书欺骗设备制造商。

鉴于大多数的驱动硬件制造商都不会采取任何措施保护固件，同时恶意软件解决方案也不会扫描驱动固件以检查恶意行为，USB给了好事者无限可能。幸运的是，目前这种类型攻击在现实中尚未出现。

9. 能源管理平台――更大的威胁产生

来自德国IT安全公司ERNW的研究员揭露了Cisco Systems EnergyWise套件中的安全漏洞，他指出攻击者可以利用这些漏洞破坏机构的电力系统。该信息同样可以被恶意攻击者用来窃取数据，Cisco EnergyWise被设计用于读取每台机架的电压、功率、电流及每小时用电数，同时也会读一些温度、湿度、气流等数据。

10. 机场和飞机上的安全设备存在重大隐患

Qualys漏洞研究主管Billy Rios表示，机场中大量使用的扫描设备存在高危漏洞，攻击者可以利用这些漏洞访问和控制一些关键功能。Billy指出了Transportation Security Administration批准的两个设备，并要求厂商对底层软件做重大调整。Billy表示，在一个制造商的箱包扫描设备中，身份验证证书以纯文本格式存储，并缺少远程控制管理，其默认密码同样是一个非常大的隐患。

同时，IOI研究员Ruben Santamarta表示，攻击者可以通过飞机上提供的Wi-Fi和空中娱乐系统黑进飞机卫星通讯系统，从而控制飞机航线和安全系统。

在上述十个领域之外，监控录像机、Tor网络、路由器、NSA、酒店系统等也是研究员重点关注领域。

除此之外，2014黑客奥斯卡奖Pwnie Awards同样值得关注。本次Pwnie Awards共分8个类别，下面我们一起看各个类别漏洞提名以及最终得奖者（白色为提名，红色标注为最终获奖者），其中Heartbleed可以说是臭名昭著了：

最佳服务器端漏洞：

• Abusing JSONP with Rosetta Flash (CVE-2014-4671)
• Heartbleed (CVE-2014-0160)
• IPMI: Sold Down the River
• Embedded Device Hacking

最佳客户端漏洞：

• Google Chrome Arbitrary Memory Read Write Vulnerability (CVE-2014-1705)
• Heartbleed (CVE-2014-0160)
• Pwn4Fun Safari vulnerability (CVE-2014-1300)
• Goto Fail (CVE-2014-1266)

最佳提权漏洞

• AFD.sys Dangling Pointer Vulnerability (CVE-2014-1767)
• VirtualBox VM Breakout using 3D Acceleration (CVE-2014-0981)
• Linux Futex Bug (CVE-2014-3153)
• evasi0n iOS 7.0 jailbreak
• Pangu iOS 7.1 Jailbreak

最具创新性研究

• Hardware-assisted Memory Corruptions
• Bypassing Windows 8.1 Mitigations using Unsafe COM Objects
• RSA Key Extraction via Low-Bandwidth Acoustic Cryptanalysis
• Windows 8 UEFI Secure Boot Bypasses
• Hacking Blind

响应最烂的厂商

• OpenCart PHP Object Injection Vulnerability
• Fired, I?
• AVG Remote Administration Insecure "By Design"
• General Motors

最佳歌曲奖

• "I'm a C I Double S P"
• "Memory Corruption"
• "Expect Us (We Are Anonymous)"
• "Security Kate"
• "The SSL Smiley Song"

最经典输家

• Goto Fail
• Heartbleed
• Target Breach
• (ISC)2 Optional Membership Fee

最经典破坏

• Heartbleed (CVE-2014-0160)
• Target Breach
• Inputs.io
• Mt. Gox

原文链接： 10 Significant Threat Findings Revealed At Black Hat 2014（编译/仲浩  审校/魏伟）