ខ្ញុំ​បាន​គិត​ថា វា​នឹង​ល្អ​ប្រសើរ​ក្នុង​ការ​រៀប​រាប់​ព្រឹត្តិការណ៍​នានា​ពី​សន្និសីទ​អន្តរជាតិ។ ហើយមិនត្រឹមតែនៅក្នុងទិដ្ឋភាពទូទៅមួយប៉ុណ្ណោះទេប៉ុន្តែដើម្បីនិយាយអំពីរបាយការណ៍ដែលគួរឱ្យចាប់អារម្មណ៍បំផុត។ ខ្ញុំសូមនាំមកជូនលោកអ្នកនូវ ដប់ក្តៅដំបូង។

- រង់ចាំ​ការ​វាយ​ប្រហារ​ IoT និង​ ransomware ជា​មិត្ត​ភាព
- "បើកមាត់របស់អ្នកនិយាយថា 0x41414141": ការវាយប្រហារលើហេដ្ឋារចនាសម្ព័ន្ធអ៊ីនធឺណេតវេជ្ជសាស្រ្ត
- ការកេងប្រវ័ញ្ច toothy នៅលើគែមនៃ skewer ផ្សាយពាណិជ្ជកម្មតាមបរិបទ
- របៀបដែលពួក Hacker ពិតប្រាកដគេចពីការផ្សាយពាណិជ្ជកម្មគោលដៅ
- ការលួចចូល MMORPG រយៈពេល 20 ឆ្នាំ៖ ក្រាហ្វិកកាន់តែត្រជាក់ ការកេងប្រវ័ញ្ចដូចគ្នា។
- តោះ hack មនុស្សយន្តមុនពេល Skynet មកដល់
- ការធ្វើយោធានៃការរៀនម៉ាស៊ីន
- ចងចាំអ្វីៗគ្រប់យ៉ាង៖ ការបញ្ចូលពាក្យសម្ងាត់ទៅក្នុងការចងចាំការយល់ដឹង
"ហើយក្មេងតូចបានសួរថា "តើអ្នកពិតជាគិតថាមានតែពួក Hacker របស់រដ្ឋាភិបាលទេដែលអាចធ្វើការវាយប្រហារតាមអ៊ីនធឺណិតនៅលើបណ្តាញថាមពល?"
- អ៊ីនធឺណិតដឹងរួចហើយថាខ្ញុំមានផ្ទៃពោះ

1. រង់ចាំ​ការ​វាយ​ប្រហារ​ IoT និង​ ransomware ជា​មិត្ត​ភាព

លោក Christopher Elisan ។ Demystifying The Ransomware និង IoT Threat // ROOTCON ។ ឆ្នាំ ២០១៧

នៅឆ្នាំ 2016 យើងបានឃើញការកើនឡើងយ៉ាងឆាប់រហ័សនៃការវាយប្រហារ ransomwari ។ យើងមិនទាន់បានជាសះស្បើយពីការវាយប្រហារទាំងនេះទេ នៅពេលដែលរលកថ្មីនៃការវាយប្រហារ DDoS ដោយប្រើ IoT វាយប្រហារមកលើយើង។ នៅក្នុងរបាយការណ៍នេះ អ្នកនិពន្ធផ្តល់នូវការពិពណ៌នាជាជំហានៗអំពីរបៀបដែលការវាយប្រហារ ransomware កើតឡើង។ របៀបដែល ransomware ដំណើរការ និងអ្វីដែលអ្នកស្រាវជ្រាវត្រូវធ្វើនៅដំណាក់កាលនីមួយៗ ដើម្បីប្រឆាំងនឹង ransomware ។

ក្នុងការធ្វើដូច្នេះគាត់ពឹងផ្អែកលើវិធីសាស្រ្តដែលបានបង្ហាញឱ្យឃើញ។ បន្ទាប់មកវាគ្មិនបញ្ចេញពន្លឺអំពីរបៀបដែល IoT ពាក់ព័ន្ធនឹងការវាយប្រហារ DDoS៖ គាត់ប្រាប់ពីតួនាទីដែលមេរោគជំនួយដើរតួក្នុងការវាយប្រហារទាំងនេះ (សម្រាប់ជំនួយជាបន្តបន្ទាប់នៅក្នុងផ្នែករបស់វាក្នុងការអនុវត្តការវាយប្រហារ DDoS ដោយកងទ័ព IoT)។ វាក៏និយាយអំពីរបៀបដែល ransomware និងការវាយប្រហារ IoT អាចក្លាយជាការគំរាមកំហែងដ៏ធំមួយនៅក្នុងប៉ុន្មានឆ្នាំខាងមុខនេះ។ វាគ្មិនគឺជាអ្នកនិពន្ធសៀវភៅ "Malware, Rootkits & Botnets: a Beginner's Guide", "Advanced Malware Analysis", "Hacking Exposed: Malware & Rootkits Secrets & Solutions" - ដូច្នេះគាត់រាយការណ៍ដោយចំណេះដឹងអំពីបញ្ហានេះ។

2. “បើកមាត់របស់អ្នក និយាយថា 0x41414141”៖ ការវាយប្រហារលើហេដ្ឋារចនាសម្ព័ន្ធអ៊ីនធឺណិតផ្នែកវេជ្ជសាស្រ្ត

Robert Portvliet ។ បើកឡើងហើយនិយាយថា 0x41414141: វាយប្រហារឧបករណ៍វេជ្ជសាស្ត្រ // ToorCon ។ ឆ្នាំ ២០១៧។

ឧបករណ៍វេជ្ជសាស្រ្ដដែលភ្ជាប់អ៊ីនធឺណែត គឺជាការពិតជាក់ស្តែង។ គ្រឿងបរិក្ខារបែបនេះគឺជាជំនួយដ៏មានតម្លៃសម្រាប់បុគ្គលិកពេទ្យ ព្រោះវាធ្វើឱ្យផ្នែកសំខាន់មួយនៃទម្លាប់ធ្វើការដោយស្វ័យប្រវត្តិ។ ទោះជាយ៉ាងណាក៏ដោយ ឧបករណ៍នេះមានចំណុចងាយរងគ្រោះជាច្រើន (ទាំងផ្នែកទន់ និងផ្នែករឹង) ដែលបើកទូលាយសកម្មភាពសម្រាប់អ្នកវាយប្រហារដែលមានសក្តានុពល។ នៅក្នុងរបាយការណ៍នេះ វាគ្មិនចែករំលែកបទពិសោធន៍ផ្ទាល់ខ្លួនរបស់គាត់ក្នុងការធ្វើ pentests សម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធអ៊ីនធឺណិតផ្នែកវេជ្ជសាស្រ្ត។ ហើយក៏និយាយអំពីរបៀបដែលអ្នកវាយប្រហារសម្របសម្រួលឧបករណ៍វេជ្ជសាស្ត្រ។

វាគ្មិនពិពណ៌នាអំពី៖ 1) របៀបដែលអ្នកវាយប្រហារកេងប្រវ័ញ្ចលើពិធីការទំនាក់ទំនងដែលមានកម្មសិទ្ធិ 2) របៀបដែលពួកគេស្វែងរកភាពងាយរងគ្រោះនៅក្នុងសេវាកម្មបណ្តាញ 3) របៀបដែលពួកគេសម្របសម្រួលប្រព័ន្ធជំនួយជីវិត 4) របៀបដែលពួកគេទាញយកចំណុចប្រទាក់បំបាត់កំហុសផ្នែករឹង និងរថយន្តទិន្នន័យប្រព័ន្ធ។ 5) របៀបដែលពួកគេវាយប្រហារចំណុចប្រទាក់ឥតខ្សែជាមូលដ្ឋាន និងបច្ចេកវិទ្យាឥតខ្សែដែលមានកម្មសិទ្ធិជាក់លាក់។ 6) របៀបដែលពួកគេជ្រាបចូលទៅក្នុងប្រព័ន្ធព័ត៌មានវេជ្ជសាស្រ្ត ហើយបន្ទាប់មកអាន និងកែសម្រួល៖ ព័ត៌មានផ្ទាល់ខ្លួនអំពីសុខភាពរបស់អ្នកជំងឺ។ កំណត់ត្រាវេជ្ជសាស្រ្តផ្លូវការ មាតិកាដែលជាធម្មតាត្រូវបានលាក់សូម្បីតែពីអ្នកជំងឺ។ 7) របៀបដែលប្រព័ន្ធទំនាក់ទំនងដែលឧបករណ៍វេជ្ជសាស្ត្រប្រើដើម្បីផ្លាស់ប្តូរព័ត៌មាន និងពាក្យបញ្ជាសេវាកម្មត្រូវបានរំខាន។ 8) របៀបដែលបុគ្គលិកពេទ្យទទួលបានឧបករណ៍មានកម្រិត។ ឬរារាំងវាទាំងស្រុង។

ក្នុងអំឡុងពេល pentest របស់គាត់ វាគ្មិនបានរកឃើញបញ្ហាជាច្រើនជាមួយនឹងឧបករណ៍វេជ្ជសាស្ត្រ។ ក្នុងចំណោមពួកគេ៖ 1) ការសរសេរកូដខ្សោយ 2) លទ្ធភាពនៃការរៀបចំទិន្នន័យ។ 3) លទ្ធភាពនៃការជំនួសឧបករណ៍ពីចម្ងាយ 3) ភាពងាយរងគ្រោះនៅក្នុងពិធីការដែលមានកម្មសិទ្ធិ 4) លទ្ធភាពនៃការចូលទៅកាន់មូលដ្ឋានទិន្នន័យដែលគ្មានការអនុញ្ញាត 5) ការចូល/ពាក្យសម្ងាត់រឹង និងមិនអាចផ្លាស់ប្តូរបាន។ ក៏ដូចជាព័ត៌មានរសើបផ្សេងទៀតដែលរក្សាទុកក្នុងកម្មវិធីបង្កប់ឧបករណ៍ ឬនៅក្នុងប្រព័ន្ធគោលពីរ។ 6) ភាពងាយរងគ្រោះនៃឧបករណ៍វេជ្ជសាស្ត្រចំពោះការវាយប្រហារ DoS ពីចម្ងាយ។

បន្ទាប់ពីបានអានរបាយការណ៍នេះ វាច្បាស់ណាស់ថា សន្តិសុខតាមអ៊ីនធឺណិតក្នុងវិស័យវេជ្ជសាស្ត្រសព្វថ្ងៃនេះ គឺជាករណីព្យាបាល ហើយត្រូវការការថែទាំយ៉ាងយកចិត្តទុកដាក់។

3. ការកេងប្រវ័ញ្ច toothy នៅចុងនៃ skewer ផ្សាយពាណិជ្ជកម្មតាមបរិបទ

Tyler Cook ។ ការផ្សាយពាណិជ្ជកម្មមិនពិត៖ របៀបដែលវេទិកាផ្សាយពាណិជ្ជកម្មទំនើបអាចត្រូវបានប្រើសម្រាប់ការកេងប្រវ័ញ្ចគោលដៅ // ToorCon ។ ឆ្នាំ ២០១៧។

ជារៀងរាល់ថ្ងៃ មនុស្សរាប់លាននាក់ចូលទៅកាន់បណ្តាញសង្គម៖ ដើម្បីការងារ កម្សាន្ត ឬគ្រាន់តែដោយសារតែ។ នៅក្រោមក្រណាត់នៃបណ្តាញសង្គមគឺជាវេទិកាផ្សាយពាណិជ្ជកម្មដែលមើលមិនឃើញចំពោះអ្នកទស្សនាជាមធ្យម និងទទួលខុសត្រូវក្នុងការផ្តល់ការផ្សាយពាណិជ្ជកម្មតាមបរិបទដែលពាក់ព័ន្ធដល់អ្នកទស្សនាបណ្តាញសង្គម។ វេទិកាផ្សាយពាណិជ្ជកម្មងាយស្រួលប្រើ និងមានប្រសិទ្ធភាពណាស់។ ដូច្នេះ ពួកគេមានតម្រូវការក្នុងចំណោមអ្នកផ្សាយពាណិជ្ជកម្ម។

បន្ថែមពីលើសមត្ថភាពក្នុងការឈានដល់ទស្សនិកជនដ៏ធំទូលាយ ដែលមានប្រយោជន៍ច្រើនសម្រាប់អាជីវកម្ម វេទិកាផ្សាយពាណិជ្ជកម្មក៏អនុញ្ញាតឱ្យអ្នកបង្រួមគោលដៅរបស់អ្នកទៅមនុស្សជាក់លាក់មួយ។ ជាងនេះទៅទៀត មុខងារនៃវេទិកាផ្សាយពាណិជ្ជកម្មទំនើប ថែមទាំងអនុញ្ញាតឱ្យអ្នកជ្រើសរើសឧបករណ៍ជាច្រើននៃបុគ្គលពិសេសនេះ ដើម្បីបង្ហាញការផ្សាយពាណិជ្ជកម្ម។

នោះ។ វេទិកាផ្សាយពាណិជ្ជកម្មទំនើបអនុញ្ញាតឱ្យអ្នកផ្សាយពាណិជ្ជកម្មទៅដល់មនុស្សគ្រប់រូប គ្រប់ទីកន្លែងក្នុងពិភពលោក។ ប៉ុន្តែឱកាសនេះក៏អាចត្រូវបានប្រើដោយអ្នកវាយប្រហារផងដែរ - ជាច្រកចូលទៅកាន់បណ្តាញដែលជនរងគ្រោះមានបំណងប្រតិបត្តិការរបស់ពួកគេ។ វាគ្មិនបង្ហាញពីរបៀបដែលអ្នកផ្សាយពាណិជ្ជកម្មដែលមានគំនិតអាក្រក់អាចប្រើវេទិកាផ្សាយពាណិជ្ជកម្មដើម្បីកំណត់គោលដៅយ៉ាងជាក់លាក់នៃយុទ្ធនាការបន្លំរបស់ពួកគេ ដើម្បីផ្តល់ការកេងប្រវ័ញ្ចផ្ទាល់ខ្លួនដល់មនុស្សជាក់លាក់មួយ។

4. របៀបដែលពួក Hacker ពិតប្រាកដគេចពីការផ្សាយពាណិជ្ជកម្មគោលដៅ

លោក Weston Hecker ។ ជ្រើសរើសចេញ ឬព្យាយាមស្លាប់ !- ប្រឆាំងការតាមដាន បូត វិទ្យុ និងការចាក់គ្រាប់ចុច // DEF CON ។ ឆ្នាំ ២០១៧។

យើងប្រើប្រាស់សេវាកម្មកុំព្យូទ័រផ្សេងៗគ្នាជាច្រើននៅក្នុងជីវិតប្រចាំថ្ងៃរបស់យើង។ ហើយវាជាការលំបាកសម្រាប់ពួកយើងក្នុងការបោះបង់ចោលពួកគេ សូម្បីតែនៅពេលដែលយើងដឹងភ្លាមៗថាពួកគេកំពុងធ្វើការឃ្លាំមើលយើងទាំងស្រុងក៏ដោយ។ សរុបមក ពួកគេតាមដានរាល់ចលនារាងកាយរបស់យើង និងរាល់ការចុចម្រាមដៃ។

វាគ្មិនពន្យល់យ៉ាងច្បាស់ពីរបៀបដែលអ្នកទីផ្សារសម័យទំនើបប្រើវិធីសាស្រ្តកំណត់គោលដៅ Esoteric យ៉ាងទូលំទូលាយ។ យើង ថ្មីៗនេះបានសរសេរ អំពីភាពវង្វេងស្មារតីចល័ត អំពីការឃ្លាំមើលសរុប។ ហើយអ្នកអានជាច្រើនបានយកអ្វីដែលបានសរសេរថាជារឿងកំប្លែងដែលមិនបង្កគ្រោះថ្នាក់ ប៉ុន្តែពីរបាយការណ៍ដែលបានបង្ហាញវាច្បាស់ណាស់ថាអ្នកទីផ្សារសម័យទំនើបកំពុងប្រើប្រាស់បច្ចេកវិទ្យាបែបនេះពេញលេញដើម្បីតាមដានយើងរួចហើយ។

តើអ្នកអាចធ្វើអ្វីបាន ឧស្សាហកម្មផ្សាយពាណិជ្ជកម្មតាមបរិបទ ដែលជំរុញឱ្យមានការឃ្លាំមើលសរុបនេះ កំពុងតែផ្លាស់ប្តូរដោយលោតផ្លោះ។ ដល់ចំណុចដែលវេទិកាផ្សាយពាណិជ្ជកម្មទំនើបអាចតាមដានមិនត្រឹមតែសកម្មភាពបណ្តាញរបស់មនុស្សម្នាក់ប៉ុណ្ណោះទេ (ការចុចគ្រាប់ចុច ចលនាទ្រនិចកណ្ដុរ។ នោះ។ ឧបករណ៍តាមដានទំនើបនៃវេទិកាផ្សាយពាណិជ្ជកម្ម ដែលបង្កើតឡើងនៅក្នុងសេវាកម្មដែលយើងមិនអាចស្រមៃដល់ជីវិត មិនត្រឹមតែវារនៅក្រោមខោរបស់យើងប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងនៅក្រោមស្បែករបស់យើងទៀតផង។ ប្រសិនបើ​យើង​មិនមាន​លទ្ធភាព​ជ្រើសរើស​ចេញ​ពី​សេវាកម្ម​ដែល​មាន​ការ​សង្កេត​ហួសហេតុ​ទាំងនេះ​ទេ ហេតុអ្វី​យ៉ាងហោចណាស់​មិន​ព្យាយាម​បំផ្ទុះ​ព័ត៌មាន​ដែល​គ្មាន​ប្រយោជន៍​ដល់​ពួកគេ​?

របាយការណ៍នេះបានបង្ហាញពីឧបករណ៍របស់អ្នកនិពន្ធ (ផ្នែកទន់ និងផ្នែករឹង bot) ដែលអនុញ្ញាតឱ្យ៖ 1) ចាក់បញ្ចូលប៊្លូធូស។ 2) រំខានទិន្នន័យដែលប្រមូលបានពីឧបករណ៍ចាប់សញ្ញានៅលើយន្តហោះរបស់រថយន្ត; 3) ក្លែងបន្លំប៉ារ៉ាម៉ែត្រកំណត់អត្តសញ្ញាណនៃទូរស័ព្ទចល័ត; 4) បង្កើតសំលេងរំខានក្នុងលក្ខណៈនៃការចុចម្រាមដៃ (នៅលើក្តារចុច កណ្ដុរ និងឧបករណ៍ចាប់សញ្ញា)។ ព័ត៌មានទាំងអស់នេះត្រូវបានគេដឹងថាត្រូវបានប្រើដើម្បីកំណត់គោលដៅផ្សាយពាណិជ្ជកម្មនៅលើឧបករណ៍ចល័ត។

ការបង្ហាញបង្ហាញថាបន្ទាប់ពីការបើកដំណើរការឧបករណ៍របស់អ្នកនិពន្ធប្រព័ន្ធតាមដានទៅឆ្កួត; ថាព័ត៌មានដែលវាប្រមូលបានក្លាយទៅជាមិនច្បាស់ និងមិនត្រឹមត្រូវ ដែលវានឹងលែងមានប្រយោជន៍សម្រាប់អ្នកសង្កេតការណ៍របស់យើង។ ជារឿងកំប្លែងដ៏ល្អ អ្នកនិយាយបង្ហាញពីរបៀប អរគុណចំពោះឧបករណ៍ដែលបានបង្ហាញ "ប្រព័ន្ធតាមដាន" ចាប់ផ្តើមយល់ឃើញពីពួក Hacker អាយុ 32 ឆ្នាំជាក្មេងស្រីអាយុ 12 ឆ្នាំដែលឆ្កួតនឹងសេះ។

5. ការលួចចូល MMORPG រយៈពេល 20 ឆ្នាំ៖ ក្រាហ្វិកកាន់តែត្រជាក់ ការកេងប្រវ័ញ្ចដូចគ្នា។

2017 ឆ្នាំនៃការលួចចូល MMORPG: ក្រាហ្វិកកាន់តែប្រសើរ ការកេងប្រវ័ញ្ចដូចគ្នា // DEF CON ។ ឆ្នាំ ២០១៧។

ប្រធានបទនៃការលួចចូល MMORPGs ត្រូវបានពិភាក្សានៅ DEF CON អស់រយៈពេល 20 ឆ្នាំមកហើយ។ ការ​គោរព​ដល់​ខួប​លើក​នេះ វាគ្មិន​រៀបរាប់​អំពី​គ្រា​ដ៏​សំខាន់​បំផុត​ពី​ការ​ពិភាក្សា​ទាំង​នេះ។ លើសពីនេះ គាត់និយាយអំពីដំណើរផ្សងព្រេងរបស់គាត់ក្នុងវិស័យប្រមាញ់សត្វក្មេងលេងតាមអ៊ីនធឺណិត។ ចាប់តាំងពី Ultima Online (ក្នុងឆ្នាំ 1997) ។ និងឆ្នាំបន្តបន្ទាប់ទៀត៖ Dark Age of Camelot, Anarchy Online, Asherons Call 2, ShadowBane, Lineage II, Final Fantasy XI/XIV, World of Warcraft ។ រួមទាំងអ្នកតំណាងថ្មីៗជាច្រើន៖ Guild Wars 2 និង Elder Scrolls Online ។ ហើយនេះមិនមែនជាបទទាំងមូលរបស់អ្នកនិយាយទេ!

របាយការណ៍នេះផ្តល់នូវព័ត៌មានលម្អិតបច្ចេកទេសស្តីពីការបង្កើតការកេងប្រវ័ញ្ចសម្រាប់ MMORPGs ដែលជួយអ្នកឱ្យទទួលបានប្រាក់និម្មិត ហើយដែលពាក់ព័ន្ធសម្រាប់ស្ទើរតែគ្រប់ MMORPG ។ វាគ្មិននិយាយយ៉ាងខ្លីអំពីការប្រឈមមុខគ្នាដ៏អស់កល្បរវាងអ្នកប្រមាញ់ (អ្នកផលិតការកេងប្រវ័ញ្ច) និង "ការគ្រប់គ្រងត្រី" ។ និងអំពីស្ថានភាពបច្ចេកទេសបច្ចុប្បន្ននៃការប្រណាំងសព្វាវុធនេះ។

ពន្យល់ពីវិធីសាស្រ្តនៃការវិភាគកញ្ចប់ព័ត៌មានលម្អិត និងរបៀបកំណត់រចនាសម្ព័ន្ធការកេងប្រវ័ញ្ច ដូច្នេះការលួចមិនត្រូវបានរកឃើញនៅលើផ្នែកម៉ាស៊ីនមេ។ រួមទាំងការបង្ហាញការកេងប្រវ័ញ្ចចុងក្រោយបំផុត ដែលនៅពេលនៃរបាយការណ៍មានអត្ថប្រយោជន៍លើ "ការត្រួតពិនិត្យត្រី" នៅក្នុងការប្រណាំងអាវុធ។

6. តោះ Hack មនុស្សយន្តមុនពេល Skynet មកដល់

លូកា អាប៉ា។ Hacking Robots មុនពេល Skynet // ROOTCON ។ ឆ្នាំ ២០១៧។

មនុស្ស​យន្ត​គឺ​ជា​កំហឹង​ទាំង​អស់​នា​ពេល​បច្ចុប្បន្ន​នេះ។ នៅពេលអនាគតដ៏ខ្លីពួកគេនឹងនៅគ្រប់ទីកន្លែង: នៅលើបេសកកម្មយោធាក្នុងប្រតិបត្តិការវះកាត់ក្នុងការសាងសង់អាគារខ្ពស់ ៗ ។ ជំនួយការហាងនៅក្នុងហាង; បុគ្គលិកមន្ទីរពេទ្យ; ជំនួយការអាជីវកម្ម ដៃគូផ្លូវភេទ; ចុងភៅនៅផ្ទះ និងសមាជិកពេញសិទ្ធិក្នុងគ្រួសារ។

នៅពេលដែលប្រព័ន្ធអេកូឡូស៊ីរបស់មនុស្សយន្តពង្រីក ហើយឥទ្ធិពលរបស់មនុស្សយន្តនៅក្នុងសង្គម និងសេដ្ឋកិច្ចរបស់យើងរីកចម្រើនយ៉ាងឆាប់រហ័ស ពួកវាចាប់ផ្តើមបង្កការគំរាមកំហែងយ៉ាងធ្ងន់ធ្ងរដល់មនុស្ស សត្វ និងអាជីវកម្ម។ នៅស្នូលរបស់ពួកគេ មនុស្សយន្តគឺជាកុំព្យូទ័រដែលមានដៃ ជើង និងកង់។ ហើយដោយសារការពិតទំនើបនៃសន្តិសុខតាមអ៊ីនធឺណិត ទាំងនេះគឺជាកុំព្យូទ័រដែលងាយរងគ្រោះដែលមានដៃ ជើង និងកង់។

ភាពងាយរងគ្រោះផ្នែកទន់ និងផ្នែករឹងរបស់មនុស្សយន្តទំនើបអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រើសមត្ថភាពរាងកាយរបស់មនុស្សយន្តដើម្បីបង្កការខូចខាតទ្រព្យសម្បត្តិ ឬហិរញ្ញវត្ថុ។ ឬសូម្បីតែចៃដន្យ ឬដោយចេតនាបង្កគ្រោះថ្នាក់ដល់អាយុជីវិតមនុស្ស។ ការគំរាមកំហែងដ៏មានសក្តានុពលចំពោះអ្វីៗដែលនៅជិតមនុស្សយន្តកើនឡើងជាលំដាប់តាមពេលវេលា។ លើសពីនេះទៅទៀត ពួកគេកំពុងកើនឡើងនៅក្នុងបរិបទដែលឧស្សាហកម្មសុវត្ថិភាពកុំព្យូទ័រដែលបានបង្កើតឡើងមិនធ្លាប់មានពីមុនមក។

នៅក្នុងការស្រាវជ្រាវថ្មីៗរបស់គាត់ វាគ្មិនបានរកឃើញភាពងាយរងគ្រោះសំខាន់ៗជាច្រើននៅក្នុងផ្ទះ មនុស្សយន្តសាជីវកម្ម និងឧស្សាហកម្ម - ពីក្រុមហ៊ុនផលិតល្បីៗ។ នៅក្នុងរបាយការណ៍នោះ គាត់បង្ហាញពីព័ត៌មានលម្អិតបច្ចេកទេសនៃការគំរាមកំហែងបច្ចុប្បន្ន និងពន្យល់យ៉ាងច្បាស់អំពីរបៀបដែលអ្នកវាយប្រហារអាចសម្របសម្រួលសមាសធាតុផ្សេងៗនៃប្រព័ន្ធអេកូឡូស៊ីរបស់មនុស្សយន្ត។ ជាមួយនឹងការបង្ហាញពីការកេងប្រវ័ញ្ចការងារ។

ក្នុងចំណោមបញ្ហាដែលបានរកឃើញដោយវាគ្មិននៅក្នុងប្រព័ន្ធអេកូឡូស៊ីរបស់មនុស្សយន្ត៖ 1) ការទំនាក់ទំនងមិនមានសុវត្ថិភាព; 2) លទ្ធភាពនៃការខូចខាតការចងចាំ; 3) ភាពងាយរងគ្រោះដែលអនុញ្ញាតឱ្យដំណើរការកូដពីចម្ងាយ (RCE); 4) លទ្ធភាពនៃការរំលោភលើសុចរិតភាពនៃប្រព័ន្ធឯកសារ; 5) បញ្ហាជាមួយនឹងការអនុញ្ញាត; ហើយក្នុងករណីខ្លះអវត្តមានរបស់វាទាំងស្រុង។ 6) ការសរសេរកូដខ្សោយ; 7) បញ្ហាជាមួយនឹងការធ្វើបច្ចុប្បន្នភាពកម្មវិធីបង្កប់; 8) បញ្ហាជាមួយនឹងការធានាការសម្ងាត់; 8) សមត្ថភាពដែលមិនមានឯកសារ (ក៏ងាយរងគ្រោះចំពោះ RCE ជាដើម); 9) ការកំណត់លំនាំដើមខ្សោយ; 10) ប្រភពបើកចំហដែលងាយរងគ្រោះ "ក្របខ័ណ្ឌសម្រាប់ការគ្រប់គ្រងមនុស្សយន្ត" និងបណ្ណាល័យកម្មវិធី។

វាគ្មិន​ផ្តល់​នូវ​ការ​បង្ហាញ​ផ្ទាល់​នៃ​សេណារីយ៉ូ​ការ​លួច​ចូល​ជាច្រើន​ដែល​ទាក់ទង​នឹង​ចារកម្ម​តាម​អ៊ីនធឺណិត ការ​គំរាម​កំហែង​ពី​ខាងក្នុង ការ​ខូច​ខាត​ទ្រព្យ​សម្បត្តិ។ល។ ដោយពណ៌នាអំពីសេណារីយ៉ូជាក់ស្តែងដែលអាចត្រូវបានគេសង្កេតឃើញនៅក្នុងធម្មជាតិ វាគ្មិនពន្យល់ពីរបៀបដែលអសន្តិសុខនៃបច្ចេកវិទ្យាមនុស្សយន្តទំនើបអាចនាំទៅដល់ការលួចចូល។ ពន្យល់ពីមូលហេតុដែលមនុស្សយន្តដែលត្រូវបានគេលួចចូលគឺមានគ្រោះថ្នាក់ជាងបច្ចេកវិទ្យាដែលត្រូវបានសម្របសម្រួលផ្សេងទៀត។

វាគ្មិន​ក៏​ទាញ​យក​ចិត្ត​ទុក​ដាក់​ចំពោះ​ការ​ពិត​ដែល​គម្រោង​ស្រាវ​ជ្រាវ​ឆៅ​ចូល​ទៅ​ក្នុង​ការ​ផលិត​មុន​ពេល​បញ្ហា​សុវត្ថិភាព​ត្រូវ​បាន​ដោះ​ស្រាយ។ ទីផ្សារឈ្នះដូចរាល់ដង។ ស្ថានភាព​មិន​ល្អ​នេះ​ត្រូវ​កែ​តម្រូវ​ជា​បន្ទាន់។ រហូតដល់ Skynet មកដល់។ ទោះបីជា... របាយការណ៍បន្ទាប់បង្ហាញថា Skynet បានមកដល់ហើយ។

7. ការធ្វើយោធានៃការរៀនម៉ាស៊ីន

Damien Cauquil ។ Weaponizing Machine Learning: មនុស្សជាតិត្រូវបានគេវាយតម្លៃលើសយ៉ាងណាក៏ដោយ // DEF CON 2017 ។

ដោយប្រថុយនឹងការត្រូវបានគេដាក់ឈ្មោះថាជាអ្នកវិទ្យាសាស្ត្រឆ្កួត វាគ្មិននៅតែចាប់អារម្មណ៍នឹង "ការបង្កើតអារក្សថ្មី" របស់គាត់ ដោយបង្ហាញដោយមោទនភាព DeepHack: ជាប្រភពបើកចំហរ AI hacker ។ bot នេះ​គឺ​ជា​អ្នក​លួច​ចូល​កម្មវិធី​គេហទំព័រ​ដែល​រៀន​ដោយ​ខ្លួន​ឯង។ វាត្រូវបានផ្អែកលើបណ្តាញសរសៃប្រសាទដែលរៀនដោយការសាកល្បង និងកំហុស។ ក្នុងពេលជាមួយគ្នានេះ DeepHack ព្យាបាលផលវិបាកដែលអាចកើតមានសម្រាប់មនុស្សម្នាក់ពីការសាកល្បង និងកំហុសទាំងនេះជាមួយនឹងការមើលងាយដ៏គួរឱ្យភ័យខ្លាច។

ដោយ​ប្រើ​តែ​ក្បួន​ដោះស្រាយ​សាកល​មួយ វា​រៀន​ដើម្បី​ទាញ​យក​ប្រភេទ​ភាព​ងាយ​រងគ្រោះ​ផ្សេងៗ។ DeepHack បើកទ្វារទៅកាន់អាណាចក្រនៃពួក Hacker AI ដែលភាគច្រើនអាចត្រូវបានគេរំពឹងទុករួចហើយនាពេលអនាគតដ៏ខ្លី។ ក្នុងន័យនេះ វាគ្មិនកំណត់លក្ខណៈដោយមោទនភាពថាជា "ការចាប់ផ្តើមនៃទីបញ្ចប់" ។

វាគ្មិនជឿថាឧបករណ៍លួចចូលដែលមានមូលដ្ឋានលើ AI ដែលនឹងលេចចេញក្នុងពេលឆាប់ៗនេះ បន្ទាប់ពី DeepHack គឺជាបច្ចេកវិទ្យាថ្មីជាមូលដ្ឋានដែលអ្នកការពារតាមអ៊ីនធឺណិត និងអ្នកវាយប្រហារតាមអ៊ីនធឺណិតមិនទាន់បានទទួលយកនៅឡើយ។ វាគ្មិន​ធានា​ថា​នៅ​ឆ្នាំ​ក្រោយ យើង​ម្នាក់ៗ​នឹង​សរសេរ​ឧបករណ៍​លួច​ចូល​រៀន​ម៉ាស៊ីន​ដោយ​ខ្លួន​ឯង ឬ​ព្យាយាម​ការពារ​ខ្លួន​យើង​ពី​ពួក​វា​យ៉ាង​អស់​សង្ឃឹម។ មិនមានទីបីទេ។

វាគ្មិន​និយាយ​ទាំង​និយាយ​លេង​សើច ឬ​ធ្ងន់ធ្ងរ​ទៀត​ថា​៖ «​លែង​មាន​សិទ្ធិ​អំណាច​នៃ​ទេពកោសល្យ​ដ៏​អាក្រក់​ទៀត​ហើយ dystopia ដែល​ជៀស​មិន​រួច​នៃ AI មាន​សម្រាប់​អ្នក​រាល់​គ្នា​សព្វ​ថ្ងៃ​ហើយ។ ដូច្នេះ សូមចូលរួមជាមួយពួកយើង ហើយយើងនឹងបង្ហាញអ្នកពីរបៀបដែលអ្នកអាចចូលរួមក្នុងការបំផ្លិចបំផ្លាញនៃមនុស្សជាតិ តាមរយៈការបង្កើតប្រព័ន្ធរៀនម៉ាស៊ីនយោធាផ្ទាល់ខ្លួនរបស់អ្នក។ ជា​ការ​ពិត​ណាស់ ប្រសិន​បើ​ភ្ញៀវ​មក​ពី​អនាគត​មិន​រារាំង​យើង​ពី​ការ​ធ្វើ​បែប​នេះ»។

8. ចងចាំអ្វីៗគ្រប់យ៉ាង៖ ការបញ្ចូលពាក្យសម្ងាត់ទៅក្នុងការចងចាំការយល់ដឹង

Tess Schrodinger ។ ការរំលឹកឡើងវិញសរុប៖ ការបញ្ចូលពាក្យសម្ងាត់នៅក្នុងអង្គចងចាំការយល់ដឹង // DEF CON ។ ឆ្នាំ ២០១៧។

តើ​អ្វី​ទៅ​ជា​ការ​ចងចាំ​ក្នុង​ការ​យល់ដឹង? តើអ្នកអាច "បញ្ចូល" ពាក្យសម្ងាត់នៅទីនោះដោយរបៀបណា? តើនេះសូម្បីតែមានសុវត្ថិភាពដែរឬទេ? ហើយហេតុអ្វីបានជាល្បិចបែបនេះ? គំនិតនេះគឺថាជាមួយនឹងវិធីសាស្រ្តនេះ អ្នកនឹងមិនអាចកំពប់ពាក្យសម្ងាត់របស់អ្នកបានទេ ទោះបីជាស្ថិតនៅក្រោមការគំរាមកំហែងក៏ដោយ។ ខណៈពេលដែលរក្សាសមត្ថភាពក្នុងការចូលទៅក្នុងប្រព័ន្ធ។

ការពិភាក្សាចាប់ផ្តើមជាមួយនឹងការពន្យល់អំពីអ្វីដែលការចងចាំការយល់ដឹង។ បន្ទាប់មកវាពន្យល់ពីរបៀបដែលការចងចាំច្បាស់លាស់ និងដោយអចេតនាខុសគ្នា។ បន្ទាប់​មក គោល​គំនិត​នៃ​ការ​ដឹង​ខ្លួន និង​សន្លប់​ត្រូវ​បាន​ពិភាក្សា។ ហើយ​វា​ក៏​ពន្យល់​ផង​ដែរ​ថា​តើ​អ្វី​ទៅ​ជា​ខ្លឹមសារ​នោះ​គឺ​ការ​ដឹង​ខ្លួន។ ពិពណ៌នាអំពីរបៀបដែលអង្គចងចាំរបស់យើងអ៊ិនកូដ រក្សាទុក និងទាញយកព័ត៌មាន។ ដែនកំណត់នៃការចងចាំរបស់មនុស្សត្រូវបានពិពណ៌នា។ និងរបៀបដែលការចងចាំរបស់យើងរៀន។ ហើយរបាយការណ៍នេះបញ្ចប់ដោយរឿងរ៉ាវអំពីការស្រាវជ្រាវទំនើបទៅក្នុងការចងចាំការយល់ដឹងរបស់មនុស្ស ក្នុងបរិបទនៃរបៀបអនុវត្តពាក្យសម្ងាត់ទៅក្នុងវា។

ជាការពិតណាស់ វាគ្មិនមិនបាននាំយកសេចក្តីថ្លែងការណ៍ដែលមានមហិច្ឆតាដែលបានធ្វើឡើងនៅក្នុងចំណងជើងនៃបទបង្ហាញរបស់គាត់ទៅជាដំណោះស្រាយពេញលេញនោះទេ ប៉ុន្តែនៅពេលជាមួយគ្នានោះគាត់បានលើកឡើងពីការសិក្សាគួរឱ្យចាប់អារម្មណ៍ជាច្រើនដែលមានលើវិធីសាស្រ្តក្នុងការដោះស្រាយបញ្ហា។ ជាពិសេស ការស្រាវជ្រាវពីសាកលវិទ្យាល័យ Stanford ដែលជាប្រធានបទតែមួយ។ និងគម្រោងអភិវឌ្ឍចំណុចប្រទាក់មនុស្ស - ម៉ាស៊ីនសម្រាប់មនុស្សពិការភ្នែក - ជាមួយនឹងការតភ្ជាប់ដោយផ្ទាល់ទៅខួរក្បាល។ វាគ្មិន​ក៏​សំដៅ​ទៅ​លើ​ការ​សិក្សា​ដោយ​អ្នក​វិទ្យាសាស្ត្រ​អាល្លឺម៉ង់​ដែល​បាន​គ្រប់គ្រង​ដើម្បី​ធ្វើ​ឱ្យ​ការ​តភ្ជាប់​ក្បួន​ដោះស្រាយ​រវាង​សញ្ញា​អគ្គិសនី​នៃ​ខួរក្បាល​និង​ឃ្លា​ពាក្យ​សំដី​; ឧបករណ៍ដែលពួកគេបានបង្កើតអនុញ្ញាតឱ្យអ្នកវាយអត្ថបទដោយគ្រាន់តែគិតអំពីវា។ ការសិក្សាគួរឱ្យចាប់អារម្មណ៍មួយទៀតដែលអ្នកនិយាយសំដៅទៅលើគឺ ទូរស័ព្ទសរសៃប្រសាទ ដែលជាចំណុចប្រទាក់រវាងខួរក្បាល និងទូរសព្ទចល័ត តាមរយៈកាសស្តាប់ត្រចៀក EEG ឥតខ្សែ (មហាវិទ្យាល័យ Dartmouth សហរដ្ឋអាមេរិក)។

ដូចដែលបានកត់សម្គាល់រួចហើយ វាគ្មិនមិនបាននាំយកសេចក្តីថ្លែងការណ៍ដែលមានមហិច្ឆតាដែលបានធ្វើឡើងនៅក្នុងចំណងជើងនៃការបង្ហាញរបស់គាត់ទៅជាដំណោះស្រាយពេញលេញនោះទេ។ ទោះជាយ៉ាងណាក៏ដោយ វាគ្មិនកត់សម្គាល់ថា បើទោះបីជាការពិតដែលថាមិនមានបច្ចេកវិទ្យាសម្រាប់ការបញ្ចូលពាក្យសម្ងាត់ទៅក្នុងអង្គចងចាំការយល់ដឹងនៅឡើយទេ មេរោគដែលព្យាយាមទាញយកវាពីទីនោះមានរួចហើយ។

9. ហើយក្មេងតូចនោះបានសួរថា "តើអ្នកពិតជាគិតថា មានតែពួក Hacker របស់រដ្ឋាភិបាលទេដែលអាចធ្វើការវាយប្រហារតាមអ៊ីនធឺណិតនៅលើបណ្តាញថាមពល?"

Anastasis Keliris ។ ហើយបន្ទាប់មក Script-Kiddie បាននិយាយថា Let There Be No Light ។ តើការវាយប្រហារតាមអ៊ីនធឺណិតនៅលើបណ្តាញថាមពលមានកំណត់ចំពោះតួអង្គរដ្ឋទេ? // BlackHat ។ ឆ្នាំ ២០១៧។

ដំណើរការរលូននៃអគ្គិសនីមានសារៈសំខាន់បំផុតក្នុងជីវិតប្រចាំថ្ងៃរបស់យើង។ ការពឹងផ្អែករបស់យើងលើអគ្គិសនីក្លាយជាភស្តុតាងជាពិសេសនៅពេលដែលវាត្រូវបានបិទ - សូម្បីតែក្នុងរយៈពេលខ្លីក៏ដោយ។ សព្វថ្ងៃនេះ វាត្រូវបានគេទទួលយកជាទូទៅថា ការវាយប្រហារតាមអ៊ីនធឺណិតនៅលើបណ្តាញអគ្គិសនីគឺស្មុគស្មាញខ្លាំង ហើយអាចចូលបានសម្រាប់តែពួក Hacker រដ្ឋាភិបាលប៉ុណ្ណោះ។

វាគ្មិន​ជំទាស់​នឹង​ប្រាជ្ញា​សាមញ្ញ​នេះ ហើយ​បង្ហាញ​ការ​ពិពណ៌នា​លម្អិត​នៃ​ការ​វាយ​ប្រហារ​លើ​បណ្តាញ​ថាមពល ដែល​តម្លៃ​អាច​ទទួល​យក​បាន​សូម្បី​តែ​សម្រាប់​ពួក Hacker មិនមែន​រដ្ឋាភិបាល​ក៏ដោយ។ វាបង្ហាញព័ត៌មានដែលប្រមូលបានពីអ៊ីនធឺណិត ដែលនឹងមានប្រយោជន៍ក្នុងការធ្វើគំរូ និងការវិភាគបណ្តាញថាមពលគោលដៅ។ ហើយវាក៏ពន្យល់ពីរបៀបដែលព័ត៌មាននេះអាចត្រូវបានប្រើដើម្បីយកគំរូតាមការវាយប្រហារលើបណ្តាញថាមពលជុំវិញពិភពលោក។

របាយការណ៍នេះក៏បង្ហាញពីភាពងាយរងគ្រោះដ៏សំខាន់ដែលបានរកឃើញដោយវាគ្មិននៅក្នុងផលិតផល General Electric Multilin ដែលត្រូវបានគេប្រើយ៉ាងទូលំទូលាយនៅក្នុងវិស័យថាមពល។ វាគ្មិនពិពណ៌នាអំពីរបៀបដែលគាត់បានសម្របសម្រួលទាំងស្រុងនូវក្បួនដោះស្រាយការអ៊ិនគ្រីបដែលប្រើនៅក្នុងប្រព័ន្ធទាំងនេះ។ ក្បួនដោះស្រាយនេះត្រូវបានប្រើនៅក្នុងផលិតផល General Electric Multilin សម្រាប់ទំនាក់ទំនងសុវត្ថិភាពនៃប្រព័ន្ធរងខាងក្នុង និងសម្រាប់ការគ្រប់គ្រងប្រព័ន្ធរងទាំងនេះ។ រួមទាំងផ្តល់សិទ្ធិដល់អ្នកប្រើប្រាស់ និងផ្តល់សិទ្ធិចូលដំណើរការប្រតិបត្តិការដែលមានសិទ្ធិ។

ដោយបានសិក្សាលេខកូដចូល (ជាលទ្ធផលនៃការសម្របសម្រួលក្បួនដោះស្រាយការអ៊ិនគ្រីប) អ្នកវាយប្រហារអាចបិទឧបករណ៍ទាំងស្រុង និងបិទចរន្តអគ្គិសនីនៅក្នុងផ្នែកជាក់លាក់នៃបណ្តាញអគ្គិសនី។ ប្រតិបត្តិករប្លុក។ លើសពីនេះ វាគ្មិនបង្ហាញពីបច្ចេកទេសសម្រាប់អានពីចម្ងាយនូវដានឌីជីថលដែលបន្សល់ទុកដោយឧបករណ៍ដែលងាយរងការវាយប្រហារតាមអ៊ីនធឺណិត។

10. អ៊ីនធឺណិតដឹងរួចហើយថាខ្ញុំមានផ្ទៃពោះ

Cooper Quintin ។ អ៊ីនធឺណិតដឹងថាខ្ញុំមានផ្ទៃពោះ // DEF CON ។ ឆ្នាំ ២០១៧។

សុខភាពស្ត្រីគឺជាអាជីវកម្មធំ។ មានកម្មវិធី Android ជាច្រើននៅលើទីផ្សារ ដែលជួយស្ត្រីឱ្យតាមដានវដ្តប្រចាំខែរបស់ពួកគេ ដឹងថានៅពេលណាដែលពួកគេទំនងជាមានគភ៌ ឬតាមដានស្ថានភាពមានផ្ទៃពោះរបស់ពួកគេ។ កម្មវិធីទាំងនេះលើកទឹកចិត្តឱ្យស្ត្រីកត់ត្រាព័ត៌មានលម្អិតបំផុតនៃជីវិតរបស់ពួកគេ ដូចជាអារម្មណ៍ សកម្មភាពផ្លូវភេទ សកម្មភាពរាងកាយ រោគសញ្ញារាងកាយ កម្ពស់ ទម្ងន់ និងច្រើនទៀត។

ប៉ុន្តែតើកម្មវិធីទាំងនេះមានលក្ខណៈឯកជនកម្រិតណា ហើយតើវាមានសុវត្ថិភាពកម្រិតណា? យ៉ាងណាមិញ ប្រសិនបើកម្មវិធីមួយរក្សាទុកព័ត៌មានលម្អិតយ៉ាងជិតស្និទ្ធអំពីជីវិតផ្ទាល់ខ្លួនរបស់យើង វានឹងជាការល្អប្រសិនបើវាមិនចែករំលែកទិន្នន័យនេះជាមួយនរណាម្នាក់ផ្សេងទៀត។ ឧទាហរណ៍ ជាមួយក្រុមហ៊ុនដែលរួសរាយរាក់ទាក់ (ចូលរួមក្នុងការផ្សាយពាណិជ្ជកម្មគោលដៅ។ល។) ឬជាមួយដៃគូ/ឪពុកម្តាយដែលមានគំនិតអាក្រក់។

វាគ្មិនបង្ហាញលទ្ធផលនៃការវិភាគសុវត្ថិភាពតាមអ៊ីនធឺណិតរបស់គាត់លើកម្មវិធីជាងរាប់សិប ដែលព្យាករណ៍ពីលទ្ធភាពនៃការមានគភ៌ និងតាមដានវឌ្ឍនភាពនៃការមានផ្ទៃពោះ។ គាត់បានរកឃើញថាភាគច្រើននៃកម្មវិធីទាំងនេះមានបញ្ហាធ្ងន់ធ្ងរជាមួយសន្តិសុខតាមអ៊ីនធឺណិតជាទូទៅ និងភាពឯកជនជាពិសេស។

ប្រភព: www.habr.com