Дар конфронси Black Hat USA дар Лас Вегас маросими супурдани мукофот , ки осебпазирӣ ва нокомиҳои бемаънӣ дар соҳаи амнияти компютериро таъкид мекунад. Ҷоизаҳои Pwnie муодили ҷоизаҳои Оскар ва Малинаи тиллоӣ дар соҳаи амнияти компютерӣ маҳсуб мешаванд ва аз соли 2007 ҳамасола баргузор мешаванд.
асосӣ и :
- Беҳтарин хатои сервер. Барои муайян кардан ва истифода бурдани хатогиҳои аз ҷиҳати техникӣ мураккабтарин ва ҷолиб дар хидмати шабакавӣ мукофотонида шудааст. Ғолибон тадқиқотчиён буданд осебпазирӣ дар провайдери VPN Pulse Secure, ки хидмати VPN-и он аз ҷониби Twitter, Uber, Microsoft, sla, SpaceX, Akamai, Intel, IBM, VMware, Нерӯи баҳрии ИМА, Департаменти Амнияти Миллии ИМА (DHS) ва эҳтимолан нисфи Ширкатҳо аз рӯйхати Fortune 500.. Тадқиқотчиён пушти дареро пайдо карданд, ки ба ҳамлагари номаълум имкон медиҳад пароли дилхоҳ корбарро иваз кунад. Имконияти истифодаи мушкилот барои ба даст овардани дастрасии реша ба сервери VPN, ки дар он танҳо порти HTTPS кушода аст, нишон дода шудааст;
Дар байни номзадхое, ки мукофот нагирифтаанд, инхоро кайд кардан мумкин аст:
- Дар марҳилаи пеш аз аутентификатсия амал мекунад дар системаи муттаҳидсозии Ҷенкинс, ки ба шумо имкон медиҳад кодро дар сервер иҷро кунед. Аз осебпазирӣ ботҳо барои ташкили истихроҷи cryptocurrency дар серверҳо фаъолона истифода мешаванд;
- Интиқодӣ дар сервери почтаи Exim, ки ба шумо имкон медиҳад кодро дар сервер бо ҳуқуқи реша иҷро кунед;
- дар камераҳои IP Xiongmai XMeye P2P, ки ба шумо имкон медиҳад, ки дастгоҳро назорат кунед. Камераҳо бо пароли муҳандисӣ таъмин карда шуданд ва ҳангоми навсозии нармафзор аз санҷиши имзои рақамӣ истифода набурданд;
- Интиқодӣ дар татбиқи протоколи RDP дар Windows, ки ба шумо имкон медиҳад, ки коди худро фосилаи дур иҷро кунед;
- дар WordPress, ки бо боркунии рамзи PHP зери ниқоби тасвир алоқаманд аст. Мушкилот ба шумо имкон медиҳад, ки коди ихтиёриро дар сервер иҷро кунед, ки дорои имтиёзҳои муаллифи нашрияҳо (Муаллиф) дар сайт аст;
- Беҳтарин хатои нармафзори муштарӣ. Ғолиби истифодаи осон буд дар системаи занги гурӯҳии Apple FaceTime, ба ташаббускори занги гурӯҳӣ имкон медиҳад, ки зангро аз ҷониби шахси даъватшуда қабул кунад (масалан, барои гӯш кардан ва дидан).
Инчунин ба ҷоиза инҳо номзад буданд:
- дар WhatsApp, ки ба шумо имкон медиҳад коди худро тавассути ирсоли занги махсуси тарҳрезишуда иҷро кунед;
- дар китобхонаи графикаи Skia, ки дар браузери Chrome истифода мешавад, ки метавонад ба вайроншавии хотира бо сабаби хатогиҳои нуқтаи шинокунанда дар баъзе тағироти геометрӣ оварда расонад;
- Беҳтарин баландшавии осебпазирии имтиёз. Ғалаба барои муайян кардан дода шуд дар ядрои iOS, ки онро тавассути ipc_voucher истифода бурдан мумкин аст, тавассути браузери Safari дастрас аст.
Инчунин ба ҷоиза инҳо номзад буданд:
- дар Windows, ба шумо имкон медиҳад, ки тавассути манипуляцияҳо бо функсияи CreateWindowEx (win32k.sys) назорати пурраи системаро ба даст оред. Мушкилот ҳангоми таҳлили нармафзори зараровар муайян карда шуд, ки осебпазириро пеш аз ислоҳи он истифода мекард;
- дар runc ва LXC, ки ба Docker ва дигар системаҳои ҷудокунии контейнерҳо таъсир мерасонад, имкон медиҳад, ки контейнери ҷудошудае, ки аз ҷониби ҳамлакунанда идора карда мешавад, файли иҷрошавандаи runc-ро тағир диҳад ва дар тарафи системаи ҳост имтиёзҳои реша гирад;
- дар iOS (CFPrefsDaemon), ки ба шумо имкон медиҳад, ки режимҳои изолятсияро канорагирӣ кунед ва кодро бо ҳуқуқи реша иҷро кунед;
- дар нашри стеки Linux TCP, ки дар Android истифода мешавад, ба корбари маҳаллӣ имкон медиҳад, ки имтиёзҳои худро дар дастгоҳ баланд бардорад;
- дар systemd-journald, ки ба шумо имкон медиҳад, ки ҳуқуқи решаро ба даст оред;
- дар утилитаи tmpreaper барои тоза кардани /tmp, ки ба шумо имкон медиҳад, ки файли худро дар ягон қисми системаи файлӣ захира кунед;
- Беҳтарин ҳамлаи криптографӣ. Барои муайян кардани камбудиҳои назаррас дар системаҳои воқеӣ, протоколҳо ва алгоритмҳои рамзгузорӣ мукофотонида шудааст. Мукофот барои муайян кардан дода шуд дар WPA3 технологияи амнияти шабакаи бесими ва EAP-pwd, ки ба шумо имкон медиҳад пароли пайвастшавиро дубора эҷод кунед ва бидуни донистани парол ба шабакаи бесим дастрасӣ пайдо кунед.
Номзадҳои дигари ҷоиза инҳо буданд:
- ҳамла ба PGP ва рамзгузории S/MIME дар муштариёни почтаи электронӣ;
- усули пурборкунии сард барои дастрасӣ ба мундариҷаи қисмҳои рамзшудаи Bitlocker;
- дар OpenSSL, ки ба шумо имкон медиҳад, ки ҳолатҳои гирифтани пуркунии нодуруст ва MAC-и нодурустро ҷудо кунед. Мушкилот аз коркарди нодурусти байтҳои сифр дар padding oracle ба вуҷуд омадааст;
- бо кортҳои ID, ки дар Олмон бо истифода аз SAML истифода мешаванд;
- бо энтропияи рақамҳои тасодуфӣ ҳангоми татбиқи дастгирии токенҳои U2F дар ChromeOS;
- дар Monocypher, ки ба туфайли он имзоҳои бепули EdDSA дуруст эътироф карда шуданд.
- Тадқиқоти инноватсионии ҳама вақт. Мукофот ба таҳиягари технология дода шуд , ки дастурҳои вектории AVX-512-ро барои тақлид кардани иҷрои барнома истифода мебарад, ки имкон медиҳад, ки суръати санҷиши безарар (то 40-120 миллиард дастур дар як сония) афзоиш ёбад. Технология ба ҳар як ядрои CPU имкон медиҳад, ки 8 мошини виртуалии 64-бит ё 16 мошини 32-битро дар баробари дастурҳо оид ба санҷиши бефосилаи барнома кор кунанд.
Барои гирифтани мукофот инҳо ҳуқуқ доштанд:
- дар технологияи Power Query аз MS Excel, ки ба шумо имкон медиҳад, ки иҷрои кодро ташкил кунед ва усулҳои ҷудокунии замимаро ҳангоми кушодани ҷадвалҳои махсуси тарҳрезишуда аз байн баред;
- фиреб додани автопилоти мошинҳои Tesla барои таҳрик додани рондан ба хатти муқобил;
- муҳандисии баръакси чипи ASICS Siemens S7-1200;
- - техникаи пайгирии ҳаракати ангуштон барои муайян кардани рамзи кушодани телефон, дар асоси принсипи кори сонар - баландгӯякҳои болоӣ ва поёнии смартфон ларзишҳои ношунавандаро тавлид мекунанд ва микрофонҳои дарунсохт онҳоро барои таҳлили мавҷудияти ларзишҳои аз телефон инъикосшуда мегиранд. даст;
- маҷмӯаи муҳандисии баръакси NSA Ghidra;
- — усули муайян кардани истифодаи код барои вазифаҳои якхела дар якчанд файлҳои иҷрошаванда дар асоси таҳлили ассамблеяҳои дуӣ;
- усули канорагирӣ аз механизми Intel Boot Guard барои бор кардани нармафзори тағирёфтаи UEFI бе тасдиқи имзои рақамӣ.
- Вокуниши лангтарин аз фурӯшанда (Ҷавоби охирини фурӯшанда). Пешбарӣ барои посухи нокифоятарин ба паём дар бораи осебпазирӣ дар маҳсулоти худ. Ғолибон таҳиягарони ҳамёни криптографии BitFi мебошанд, ки дар бораи ултра-амнияти маҳсулоти худ фарёд мезананд, ки дар асл хаёлӣ буд, муҳаққиқонро таъқиб мекунанд, ки осебпазириро муайян мекунанд ва мукофотҳои ваъдашударо барои муайян кардани мушкилот пардохт намекунанд;
Дар байни довталабони ҷоиза низ баррасӣ мешаванд:
- Як пажӯҳишгари амниятӣ мудири ширкати Атриентро ба ҳамла ба ӯ муттаҳам кард, то ӯро маҷбур кунад, гузориш дар бораи осебпазирии муайянкардаашро аз байн барад, аммо мудир ин ҳодисаро рад мекунад ва камераҳои назоратӣ ҳамларо сабт накардаанд;
- Масштаб ислоҳи масъалаи муҳимро таъхир дод дар системаи конфронси худ ва танҳо пас аз ошкор кардани омма мушкилотро ислоҳ кард. Ин осебпазирӣ ба ҳамлагари беруна имкон дод, ки ҳангоми кушодани саҳифаи махсус тарҳрезишуда дар браузер аз веб-камераҳои корбарони macOS маълумот гирад (Zoom сервери http-ро дар тарафи муштарӣ оғоз кард, ки фармонҳоро аз замимаи маҳаллӣ қабул мекард).
- Дар давоми зиёда аз 10 сол ислох накардан бо серверҳои калиди криптографии OpenPGP бо истинод ба он, ки код бо забони мушаххаси OCaml навишта шудааст ва бидуни нигоҳдорӣ боқӣ мемонад.
Эълони аз ҳама сарсабзона дар бораи осебпазирӣ то ҳол. Ин ҷоиза барои инъикоси хеле ғамангез ва васеъмиқёси мушкилот дар Интернет ва ВАО дода мешавад, хусусан агар осебпазирӣ дар ниҳоят дар амал истифоданашаванда бошад. Ҷоиза барои Bloomberg дода шуд дар бораи муайян кардани микросхемаҳои ҷосусӣ дар тахтаҳои Super Micro, ки тасдиқ нашудааст ва манбаъ комилан нишон дода шудааст .
Дар номинатсия зикр шудааст:
- Осебпазирӣ дар libssh, ки барномаҳои сервери ягона (libssh қариб ҳеҷ гоҳ барои серверҳо истифода намешавад), аммо аз ҷониби NCC Group ҳамчун осебпазирӣ пешниҳод шудааст, ки ба ҳама гуна сервери OpenSSH ҳамла мекунад.
- Ҳамла бо истифода аз тасвирҳои DICOM. Гап дар он аст, ки шумо метавонед файли иҷрошавандаро барои Windows омода созед, ки ба тасвири дурусти DICOM монанд аст. Ин файлро метавон ба дастгоҳи тиббӣ бор кард ва иҷро кард.
- Осебпазирӣ , ки ба шумо имкон медиҳад, ки механизми пурборкунии бехатарро дар дастгоҳҳои Cisco гузаред. осебпазирӣ ҳамчун мушкилоти аз ҳад зиёд тасниф карда мешавад, зеро он барои ҳамла ҳуқуқи решаро талаб мекунад, аммо агар ҳамлакунанда аллакай дастрасии решаро ба даст оварда тавонист, пас мо дар бораи кадом амният сӯҳбат карда метавонем. Осебпазирӣ инчунин дар категорияи мушкилоти аз ҳама нодида гирифташуда ғолиб омад, зеро он ба шумо имкон медиҳад, ки ба Flash дари доимӣ ворид кунед;
- Бузургтарин нокомӣ (Аксари эпикӣ нокомӣ). Ғалаба ба Bloomberg барои як силсила мақолаҳои ҳассос бо сарлавҳаҳои баланд, вале далелҳои сохта, саркӯб кардани манбаъҳо, фаромадан ба назарияҳои тавтиъа, истифодаи истилоҳот, аз қабили “сибери силоҳ” ва умумиятҳои ғайри қобили қабул дода шуд. Дигар номзадҳо инҳоянд:
- Ҳамлаи Shadowhammer ба хидмати навсозии нармафзори Asus;
- Хакерӣ кардани анбори BitFi, ки ҳамчун "хакернашаванда" эълон шудааст;
- Ихроҷи маълумоти шахсӣ ва дастрасӣ ба Facebook.
Манбаъ: opennet.ru