DefCon23

我的朋友们，我想说的过去一周对于安全信息行业简直是噩梦一般。如果说上一周我们只是发现了些有趣的bug、零日漏洞以及安全研究专家寻找已久的漏洞的话，那本周真正的灾难才刚刚降临：网络犯罪分子已利用所有这些缺陷渗透进了存在漏洞的软件。尽管这些内容相当重要，但人们对这样的新闻或多或少已有些厌倦。每一次，我们的新闻博客-Threatpost都会带来安全信息领域新鲜热辣的新闻，同时还会在其中精选三篇有关安全补丁修复的文章，而文章摘选工作远比你们想象的要难得多。 不管怎么样，这些内容都相当重要！找到一个漏洞需要花费不少的时间和精力，但更难的是在没有遭受黑客攻击之前就将其修复。软件开发者可以找出千万种不立即（或当季度或无限期）对特定bug修复的理由。但问题最终总是要解决的。 在本周最热门的三个新闻故事中，无一例外其中所含的bug均还未能修复。这里我再次重申《安全周报》的编辑原则：每周Threatpost的团队都会精心摘选三条当周要闻，并加上我自己独到的见解。往期的内容可以在这里找到。 另一个存在于Google Admin内的安卓系统bug Threatpost新闻故事。MWR实验室研究。 我们发现了哪些漏洞？ 你是否注意到最近有关bug的新闻纷涌而至？哎，难道只是一辆车遭到黑客入侵？我们在许多车内都发现了数十种安全漏洞！同时，在有关安卓的最新新闻中，我们也很容易注意到同样的情况。首先是Stagefright漏洞，然后是一些稍小的bug，现在则轮到了Google Admin，即通过该工具绕过沙盒。 作为安卓系统级的应用程序之一，Google Admin可以接受来自其他应用的URL地址，而且事实证明，该工具可以接受所有URL地址，甚至是以’file://’开头的路径。结果是，具有网页下载功能的简单联网工具开始向类似整体文件管理器演变。是否因此所有安卓应用就可以相互隔离呢？当然不是，Google Admin只是拥有更高的权限，一旦不幸读取某些流氓URL地址，任何应用都能绕过沙盒访问私人数据。 漏洞是如何修复的？ 首先，请容许我简要介绍该独立研究和漏洞披露的整个过程。这一漏洞是在三月份被发现，随后相应的报告即提交给了Google。大约5个月后，当研究专家再度检查Google Admin的安全状况时，发现这个bug依然还未修复。8月13日，有关这一bug的信息被公开披露，目的是敦促Google尽快发布相关补丁。 顺便提一下，Google拥有一支内部研究团队，任务是花费大量时间和精力到处寻找bug，且不仅限于Google自行研发的软件。Google的Project Zero项目小组通常在将找到的bug公诸于众前，给予软件开发者90天的时间修复漏洞，但我们依然对Google能否在90天内成功修复漏洞持怀疑态度。 Google Admin工具在有些方面的确很糟糕：首先，有些方面确实糟糕；其次，我们都知道未必所有存在漏洞的安卓设备上都能修复漏洞。你是在说月度安全更新？那如果是长达半年的漏洞修复过程又如何呢？看！看！ 施耐德电气SCADA系统内发现开放式漏洞 Threatpost新闻故事。ICS-CERT报告。 欢迎来到重要基础设施的奇妙世界！请坐好，不必拘束，但千万不要碰可怕的红色开关，也不要摸那些莫名突出在外的电线。没错，它们本来就突在外面。这没什么问题。多年以来一直就这样。你一碰的话，我们就全完蛋了。 SCADA（监控与数据采集）系统作为重要基础设施的一部分，负责像锅炉（主要位于公寓大楼甚至核电站内）这样重要设备的操作和运行。此类系统无法进行篡改、关闭或重启。千万不要在这一系统上修改任何参数，说得简单点，不要碰任何东西！ 如果你有任何问题的话，千万不要自己去冒险尝试，最好读一读我们这一主题的文章。同时，我们还必须承认，尽管这些系统的重要性不言而喻，但却常常部署在运行老版本Windows系统的PC电脑上。与一般企业不同的是，重要基础设施通常至少过5年后才会升级或更换所用的硬件和软件，有些工业设施机器人或离心机为了将一些致命化学品分离，可能会数十年不停歇地使用同一个硬件运行。 我们发现了哪些漏洞？ 安全研究专家们在其中一个系统内—施耐德电气Modicon M340（多么浪漫的名字！）的PLC站内发现了大量bug。简而言之，这一连串漏洞将能让非工作人员完全掌控系统…基本上来说，可通过系统调节所有参数。其中还找到一个相当普遍的漏洞（顺便说下，该漏洞常常出现在许多路由器和物联网设备内），我们称之为硬编码器凭证。 关于工业SCADA系统内到底对哪些程序进行了硬编码，目前依然未知（尽管理由很明显），但我们完全可以做大胆的假设：这是一个由供应商提供的为简化维护程序而提供的默认登录凭证，或者是供应商可能只是忘了从编码中挑一个测试密码。或者你自己也可以想个理由出来。 漏洞是如何修复的？ 根本就没有得到修复。从安全研究专家Aditya

物理网络安全研究专家Marina Krotofil和Jason Larsen在黑猫大会和DEF CON大会上均展示了他们对如何黑客入侵化工厂的研究–内容着实引人入胜。 黑客入侵化工厂并非是天方夜谭。既然黑客已能成功入侵浓缩铀设施、智能阻击枪或同时入侵数千辆Jeep汽车，那黑客入侵化工厂又有何不可能呢。世界上现在已经没有什么东西不可以入侵的，难道说化工厂就能成为例外吗？ 而真正有趣的是：在Krotofil的展示中，她深入地探讨了黑客在成功掌控化工厂的计算机网络后，可以做的以及应该做的事情。这里引出了该项究的第一个结论：黑客入侵导致的后果并不一定是明显的。 黑客可以对已遭入侵和控制的化工厂进行多种方式的漏洞利用。其中只有一种真正容易被发现：就是黑客让工厂的正常生产陷入瘫痪，其后果显而易见。 而更巧妙的入侵方法是：小心翼翼地对化工工艺进行调整，进而让目标工厂利润降低的同时失去市场竞争力。例如，黑客可以通过微调化工工艺来降低产品质量和/或等级。对于化学品而言，最重要的参数无疑是化学纯度。 例如，纯度98%的对乙酰氨基酚成本仅为1欧元/公斤（约合1.11美元）。而纯度达到100%的对乙酰氨基酚，其成本竟高达8000欧元/公斤。显然，黑客完全可以将降低化学品纯度作为首要攻击目标，进而从目标工厂老板的竞争对手那儿获得”丰厚报酬”。 来自Positive Hack Days安全竞赛的”漏洞化工处理框架”工具 而针对物理网络系统的黑客入侵而言，想要进行漏洞利用并非易事，这正是该项研究的第二个结论。由于整个化工厂相当复杂，因此里面的许多物理和化工工艺相互依赖。就算你在这里更改了某个工艺，在其它地方也能产生同样的工艺过程。因此，要想达到自己的目的，你必须了解其中所有工艺的相互关系。 首先，你需要一名化工人员，确切地说是一名化工专家。其次，你需要建造自己的”化工厂”并进行实验。顺便提一下，在Stuxnet作者开发这一著名病毒的过程中，使用了几台真正的铀浓缩离心机。 如果你无法建造”化工厂”，那就需要创建一个软件模型然后在里面进行虚拟实验。此外，你还要明确到底要哪些设备和软件需要处理。令人意想不到的是，想要黑客入侵化工厂，网络黑客最倚靠的工具竟然是互联网，特定情况下还要用到社交网络：化工厂员工通常都会将一些与工作相关的内容发布上去。而他们发布最多的就是包含有用信息的真实屏幕截图。 就算你有真正的化工专家为你工作，并获取了所有必要信息和软件模型，这还是无法确保你一定能控制你想要的化工工艺。问题的关键在于化工厂在设计时考虑了网络安全性；例如，物理网络系统相比纯计算机系统而言，无法使用通用断工具。 这也是为什么你必须借助间接数据对参数进行调整。例如，你无法测量产品本身的纯度，因为工厂根本不需要这样的嵌入式工具，他们通常在产品生产出来以后进行测量。你需要借助温度或压力来估计纯度。因此，黑客入侵化工厂的难度并没有被高估。当然，如果你时间充裕且拥有丰富资源的话，没有什么是做不到的。 简单地说，一方面，黑客入侵复杂的物理网络系统的确很难。另一方面，一切皆有可能。而一旦化工厂不幸遭黑客入侵，其内部的复杂程度对于安全防护恰恰起到了相反的作用—化工厂因此而难以检测到恶意行为。 正如Kim Zetter在《Countdown to Zero Day》一书中谈到Stuxnet时所说的，设计这一蠕虫病毒的真正目的并非是为了破坏铀浓缩离心机，而是降低核燃料的’质量’。如果某个神通广大的人能有足够耐心而且不追求短时效果的话，恶意软件将难以被发现。

人类的行为通常都有规律可循，因此完全可以预测。尤其当不法分子在破解密码、密文和PIN码时，人类行为的可预测性可轻易被利用。我们中的许多人都会将名字、出生日期和其它容易猜到的个人信息设为密码，更不用提’12345’这样的极简易数字密码仍被广泛使用。那我们每个人在设置自己的锁屏图案时，是否也有据可循且容易预测呢？事实证明—的确如此。 来自一家挪威公司- Itera Consulting的研究专家Marte Løge对此做了一项分析，主要是分析人们分别为购物应用、智能手机锁屏和网银所设置的图案密码。最终的结果着实令人大吃一惊。 首先，应用的类型与图案密码的设置强度有着密切的关系。相比智能手机锁屏，人们更倾向于对网银甚至购物应用使用强度更高的图案密码。 其次，在Løge调查的数千受访者中，许多人（约占10%）使用的都是字母样式图案，其强度与类似’12345’这样的极简易数字密码一样弱不禁风，几乎起不到任何安全防御作用。 数字样式的图案密码完全弱不经且最容易被猜到 第三，尽管图案密码可以有大约39万种组合，但人类行为的特有规律使得这一数量大幅缩减。上述提到的大多数组合都包含了8个或9个点，但不幸的是，实际中使用这些组合的人少之又少。因此人们使用最多的大约有10万种组合。 尽管10万种组合听上去数量庞大，但事实上其中的3/4包括了8点和9点的组合，而这些组合人们通常很少用到 据调查，图案密码的平均长度大约是5点—但这根本不足以保护智能手机或应用程序的安全。5点的图案密码长度只能有约7000种组合，显然这比简单的4位数字PIN码还要羸弱不堪。而人们最常用的图案长度是4点，这只能有大约1600种组合。 4点图案密码长度使用最为广泛 此外，要想进一步将组合的数量减至更少，你完全可以轻松预测出图案密码的起始点。人们通常倾向于将角落设为起始点，而其中大约一半的图案组合更都是将左下角作为起始点。而多达73%的人在设置图案密码时，都同时使用了左下角和右上角。 有趣的是，这与是右撇子还是左撇子以及是单手（小屏幕）还是双手（大屏幕）用智能手机都无太大关系。它们的各自占比都非常接近。 另一个有趣的事实是，女性相比男性更倾向于设置较弱的图案密码。此外，图案密码强度与年龄也有一定关系：年龄越小，越可能使用强度更高的图案密码。因此，知道性别和年龄确实有助于预测使用的图案密码。 我们能从这项研究中学到什么？基本上来说，如果你使用安卓锁屏图案，或为一些敏感应用设置图案密码时，想真正保护自己数据的话， 最好使用与众不同的策略。以下是我们的建议： 千万不要使用人人都能想到的数字样式图案组合。使用这种薄弱图案密码的效果和不使用图案或数字字母密码的效果相差无几。 起始点选择不太常用的位置：最好的选择是右边中间的位置。右下角同样也是相当不错的选择。 图案密码的长度最好设为8点或9点：首先组合数量庞大；其次很少有人使用这一长度。 当然，可以考虑将图案密码改为数字字母密码。因为即使是长且可靠的数字字母密码相比高强度图案密码来说，记起来还是要更容易些。

如果说’黑客入侵’已成为一种时尚潮流的话，那本季的最热流行非’黑客入侵汽车’莫属。在两名研究专家Charlie Miller和Chris Valasek详细揭露如何黑客入侵Jeep大切吉诺不久后，另一个安全专家小组也成功控制了特斯拉S型电动车。 移动安全公司Lookout联合创始人兼首席技术官Kevin Mahaffey及其合作伙伴Marc Rogers（CloudFlare首席安全研究专家）在特斯拉S型系统中发现了6个漏洞后，已与特斯拉公司开展了数周之久的合作，以共同编写修复补丁。 尽管已放出了相关补丁，但这一事件已让人们对特斯拉S型电动车的安全性产生了极大怀疑。犯罪分子可将PC电脑与车载以太网进行物理连接来利用这些安全漏洞，只需使用软件命令就能将你价值10万美元的’豪车’直接开走。另外，犯罪分子还能让系统感染木马病毒，从而远程关闭正在行驶中的电动车的发动机。 在测试潜在网络威胁时，研究人员竟然完全掌控了车载娱乐系统。他们可以随意打开和关闭车窗、锁车门或开门锁、升/降悬吊系统以及切断汽车电源。 但特斯拉并没有犯和克莱斯勒相同的错误。一旦正在行驶中的S型电动车电源被切断，其车内系统可立即激活手刹。 当车速慢于8公里/小时，车辆会自动倾斜直至停下来为止；而当车速快于8公里/小时，特斯拉则采取特殊安全预防措施。在对高速行驶的车辆进行测试时，当司机保留对转向和制动的控制时，汽车档位会自动转到空挡并自动停下来。此外，安全气囊也能完全起到其应有的作用。 在相同的处境下，克莱斯勒不得不通过召回140万辆问题车打上紧急安全补丁，而特斯拉汽车只需通过无线通信即可打上安全补丁。具有讽刺意味的是，一些汽车生产公司提供安全补丁的速度竟然比许多智能手机生产商还要快许多。 “如果每次下载和安装补丁的过程都能顺畅进行的话，这可以解决许多的问题。你可以看到，在现在的汽车系统内运行着大量的软件，因此需要频繁地安装补丁，其安装频率有时甚至超过了PC电脑，但如果要求车主每周或每个月前往经销商处安装各种补丁的话，那绝对是一件恐怖的事情。我的观点是世界上的每一辆车如果能连接互联网的话，都应该采用OTA（无线通信）方式下载并安装补丁。” —Mahaffey在《Wired》杂志上评论道。 Mahaffey和Rogers将就如何提高特斯拉汽车安全性方面继续展开合作。此外据报道，特斯拉公司还从Google新挖来了一名在业内享有声望的工程师：Chris Evans将担任特斯拉汽车安全团队的负责人。

安全研究专家Chris Rock最近发现，完全不费吹灰之力就能”杀死一个人”。需要声明的是，我们讨论的内容完全属于法律意义上的范畴，并不会引起道德和法律上的后果。只需要一台能上网的电脑、些许相关知识和基本的网络常识，每个人都能做到。你甚至无需黑客入侵任何网站；你所需的所有服务都是现成的，而且是100%合法。 因为一场意外-澳大利亚的一家医院错发200张死亡通知书，Chris Rock开始着手研究其中的漏洞。他的想法是，既然因为医院的失误操作能造成电子系统出错，那个人也同样可以人为制造”错误”。 人死亡的官方证明被称为’死亡通知书’。而在许多国家，这一证明还可以在线申请。例如，在美国，医院可以使用一项称为’电子死亡登记系统’（EDRS）的网络服务。要想成功申请死亡证明，你只需以医生的身份登录EDRS。 要想注册这项服务，你需要输入能证明你医生身份的几项信息，包括：姓名、执业证书编号以及你医生执照上的地址。即便你不是医生，还可以通过在线服务（至少在加州是如此）找到所有你想要的医生信息。简而言之，你可以随时以加州一名职业医生的身份登录ESDR，且不会产生任何问题。 此外，另一种人同样也能开立死亡证明，那就是丧葬承办人。有趣的是，在某些美国州（和像英国或澳大利亚这样的国家），无需任何特殊培训或资质证书就能成为一名丧葬承办人。提交申请后只需等待有关部门确认—很快，你就能正式成为一名丧葬承办人。 当然，你需要知道如何正确填写死亡证明。但此类系统通常都为医生和丧葬承办人在线准备了相关的填写指南。当然，你也可以通过Google搜索，各种你想要的信息都一目了然。死亡证明申请的基本方法就是这样，可能你还需要做一些遗嘱认证方面的工作。但这同样相当简单。 在这些’死亡服务’网站中，最有意思的是竟然还有一个特殊按钮，用来进行批量死亡登记。这一功能最初设计是用来登记类似于灾难中的死亡人口，但任何人想扮演Bender Rodriguez的角色，都可以用这个特殊按钮来一场虚拟的’集体屠杀’。 当然你也可以反过来做—创造一个虚拟的人—方法也大同小异，但你却无需忍受’怀胎九月的煎熬’。事实上，创造虚拟的人要比让真实的人虚拟死亡来得更容易些。首先，你无需注册为一名丧葬承办人。其次，你可以一名助产护士的身份注册，而无需是医生。而且，有关助产护士的所有必要信息都可以从上述提到的加州网站和其他国家类似的服务项目中找到。 人们’虚拟杀人’或’创造虚拟人’的理由有很多。可能为了欺诈、报复或是故意妨碍他人，各种原因不胜枚举。可能还有一些令人啼笑皆非的理由，但却很难让人察觉到：在创造虚拟的人同时，你所创造的那个他/她也立即成为了完全合法的人，你可以在日后随时用这一身份做任何事情。这就好比将你在社交网站上所展现出的完美的你移植到了现实生活中！ 官方对于死亡的认定也十分有趣：要想恢复自己的’法律地位’可谓相当复杂。过去曾发生过这样一个案件：有一个人因为失踪多年而被错误地宣布已死亡。他想要恢复自己的’合法地位’，但法官却说现在已经晚了—因为俄亥俄州法律规定必须在宣告死亡后的三年内提出异议。一旦三年期限过后，就无法再进行更改。抱歉，伙计，我们真的是无能为力。