在BlackHat投票机卫星起搏器等黑客事件将大量涌现

在沙漠炎热的夏天，每年一次的网络安全马戏团(Black Hat)来到拉斯维加斯时，没有任何行业或技术是安全的。发现缺陷，发现漏洞，发布(或未发布)修复程序，以及数字世界的危险不断发展。

本周的Black Hat USA 2018大会也不例外，因为来自世界各地的安全研究人员提出了一些发现，这些发现表明在广泛的工业和消费产品领域缺乏网络保护。随着民族国家和资金充裕的分子越来越善于破坏，网络安全行业的问题仍然是如何应对众多威胁。

“世界大事已经赶上了我们，我们正在接受测试，”黑帽公司创始人兼董事 杰夫·莫斯 在周三的会议上的主题演讲中说。“感觉就像我们的对手有策略，我们有策略。那不是很好。”

中国音乐参与投票

如今，新闻中非常有战略意义的问题之一是，外国政府是否一直在干预美国大选。至于选民准备去在11月投票，投票机的远程操纵的可能性仍然是一个真实存在的危险。

星期四，哥本哈根IT大学副教授卡斯滕·舒尔曼(Carsten Schuermann) 对十多年来在许多州选举中使用的八台退役WINVote机器进行了法医分析。他的发现并不令人鼓舞。安全研究人员发现使用开放版本的计算机使用尚未更新的2002 Windows XP版本，以及使用密码“ abcde”可访问的系统驱动器。

他还发现下载的MP3文件在一台机器上播放中文歌曲，而在一小时内又在另一台机器上修改了60多个文件。两种投票机都被用于弗吉尼亚州的州长选举。舒尔曼说，在某一时刻，全国各州安装了4,000台WINVote机器。

舒尔曼说：“在投票机上有这样的MP3文件真是奇怪。” “不是很好。”

受损的飞机Wi-Fi

卫星技术中发现的通信系统漏洞也在本周对航空，和海事进行了审查。IOActive Inc.的研究人员在 周三发表的研究结果表明，通过SATCOM进行的远程攻击可能会损害安全性。

研究由鲁本圣玛尔塔，IOActive的为首席安全顾问，在卫星通信系统发现，板载公共Wi-Fi飞机上可以从地面被破坏。他还提供了类似的海上拦截能力和单位访问位置数据的证据。Santamarta谨慎地强调，他的研究影响了非安全通信，并且IOActive团队一直在与政府机构和供应商合作以审查研究结果。

“我们可以控制天线和传输，”桑塔玛塔告诉组装媒体。“我们正在与当局合作，以披露问题。”

应对全世界机器和系统的安全性受到威胁是一回事。这是脆弱性可能在人体内部的另一种情况。研究人员乔纳森·巴茨，QED安全解决方案的创始人，比利·里奥斯，WhiteScope LLC的创始人，在Black Hat会议上周四表示担心，关于固件更新缺乏加密功能可以打开大门，恶意黑客妥协的结果呈现美敦力心脏起搏器。

会议演示涉及在植入心脏起搏器后破坏医生用来控制心脏起搏器的设备。去年秋天，美敦力(Medtronic plc) 采取了一些措施来解决研究人员的一些发现，这些发现在2017年被部分披露为概念验证，该公司周二发布了新的安全更新。

这些只是Black Hat的亮点中的一小部分，Black Hat在两天的时间里提供了很多会议，涉及从工业“物联网”系统的攻击到Microsoft Corp.的Cortana中的漏洞的所有内容。然而，在拉斯维加斯举行的许多对话背后的潜在信息都集中在使用新技术来支撑网络安全库抵抗持续威胁的潜力上。

希望区块链和人工智能

正如马克·安德森( Marc Andreessen )在2011年著名地宣称的那样，如果软件正在吞噬整个世界，那么区块链就可以成为甜点。分布式账本平台被视为对许多技术挑战的最终救赎 ，Google LLC工程总监Parisa Tabriz(如图)周三早上在Black Hat的主题演讲中断然宣称：“如果我想做一件事，您今天不用理会我的话，那是区块链无法解决我们所有的安全问题。”

在某些情况下，区块链确实为改善安全状况提供了一些希望。Trustar的开发人员在本周的会议上展示了一种新的区块链监视工具，称为White Rabbit，可以检测新兴的勒索软件活动。

但是，研究人员也在围绕区块链本身的安全性问题苦苦挣扎。Trail of Bits的安全工程师Jay Little在周三介绍了来自各种区块链解决方案的安全值分析，并记录了合同编程语言Solidity中的错误缺陷。他的公司在GitHub上发布了一个以太坊漏洞的存储库，标题为“ Not So Smart Contracts”。

机器学习和人工智能也被定位在安全社区中，这是另一个希望的灯塔，许多公司在Black Hat展示了最新的分析工具，以发现和避免恶意攻击。但令人担忧的是，不良行为者在这一领域比安全界更遥遥领先。

周三，IBM Corp.研究人员详细介绍了一种称为DeepLo​​cker的新型攻击，该攻击利用AI逃避了网络安全保护。该恶意软件使用AI隐藏在良性目标中，可以在识别到特定的预选用户时激活。

微软安全开发生命周期战略团队成员亚当·肖斯塔克警告说：“专家级机器学习和人工智能将为攻击者带来更多乐趣，而对您来说则将变得不再那么有趣。” “这项技术只会变得越来越快。”

在周三的主题演讲中，Google的大不里士向观众展示了标志性的街机游戏“ Whack-A-Mole”的照片，其中，玩家使用橡皮槌从小孔中戳出小动物的东西。描述风险专业人士在普遍感觉是一个适当的隐喻，因为风险持续增长且风险很高。

Tabriz说：“随着事情之间的联系越来越紧密，我们必须停止玩'Whack-A-Mole'。” “计算机安全性正日益成为世界的安全性。”