網(wǎng)絡(luò)安全需要更加開(kāi)放

文/楊望

網(wǎng)絡(luò)安全需要更加開(kāi)放

文/楊望

中外黑客高手云集無(wú)錫，安全專家許榕生教授指出

論壇希望通過(guò)推動(dòng)國(guó)內(nèi)的安全工作人員與國(guó)際同行的直接交流，組合技術(shù)和非技術(shù)人員的平臺(tái)，來(lái)討論如何通過(guò)技術(shù)、法律以及商業(yè)和社會(huì)的綜合手段，以減輕各種黑色產(chǎn)業(yè)的危害。

2009年11月6日到8日，首屆“石中劍黑客峰會(huì)”在美麗的太湖之濱無(wú)錫舉行。論壇由中科院高能所網(wǎng)絡(luò)安全實(shí)驗(yàn)室和無(wú)錫國(guó)家傳感信息中心聯(lián)合主辦，以“信息共享和響應(yīng)”為主題，展開(kāi)“社會(huì)工程學(xué)、硬件黑客、信息戰(zhàn)、安全取證”四個(gè)方面的議題。

此次會(huì)議是由國(guó)際黑客協(xié)調(diào)委員會(huì)的創(chuàng)始人周銘發(fā)起，由無(wú)錫高科技園區(qū)支持舉辦，大會(huì)主席是中國(guó)科學(xué)院的安全專家許榕生教授。

論壇的國(guó)內(nèi)嘉賓邀請(qǐng)了在大學(xué)、中科院及社會(huì)業(yè)界的網(wǎng)絡(luò)技術(shù)高手，包括云計(jì)算安全、計(jì)算機(jī)固件安全、數(shù)據(jù)恢復(fù)與數(shù)字取證、IPv6的專家，以及黑客俱樂(lè)部組織的資深人員出場(chǎng)。國(guó)外嘉賓包括RFID和通信協(xié)議技術(shù)專家、路由協(xié)議破解專家、網(wǎng)絡(luò)滲透與反滲透的專家、反恐怖情報(bào)分析專家、逆向工程與脆弱性研究專家，以及社會(huì)工程學(xué)專家和國(guó)際黑客小組協(xié)調(diào)人等，他們分別來(lái)自美國(guó)、英國(guó)、德國(guó)、以色列、比利時(shí)、印度和巴西等國(guó)。

論壇希望通過(guò)推動(dòng)國(guó)內(nèi)的安全工作人員與國(guó)際同行的直接交流，組合技術(shù)和非技術(shù)人員的平臺(tái)，來(lái)討論如何通過(guò)技術(shù)、法律以及商業(yè)和社會(huì)的綜合手段，以減輕各種黑色產(chǎn)業(yè)的危害。

許榕生教授說(shuō)：“有人問(wèn)我為什么要請(qǐng)這些國(guó)外的黑客來(lái)討論信息安全，這樣會(huì)對(duì)中國(guó)很麻煩，很危險(xiǎn)，但我想如果我們不請(qǐng)他們來(lái)，中國(guó)會(huì)更麻煩，更危險(xiǎn)?！?/p>

國(guó)際黑客協(xié)調(diào)委員會(huì)的創(chuàng)始人周銘則認(rèn)為，安全不是閉門造車，需要將“友誼和共享”這樣的理念帶到國(guó)內(nèi)的安全界，他希望通過(guò)這樣的形式對(duì)國(guó)內(nèi)的黑客群體進(jìn)行引導(dǎo)，宏揚(yáng)真正的“黑客文化”。

中外高手各展千秋，三天的交流高潮迭起。講演的內(nèi)容包括了信息戰(zhàn)、硬件安全、社會(huì)工程以及各類具體的網(wǎng)絡(luò)安全技術(shù)，競(jìng)賽的內(nèi)容也包括各種五花八門的游戲。

據(jù)悉，論壇將在未來(lái)建立起一個(gè)聯(lián)合協(xié)調(diào)小組，從而更好地利用各國(guó)信息技術(shù)資源，加強(qiáng)交流與合作，幫助、減緩和避免全球網(wǎng)絡(luò)的沖突，也希望通過(guò)領(lǐng)先的技術(shù)和社交的介入來(lái)減輕恐怖行為和所謂黑色產(chǎn)業(yè)鏈的危害。

社會(huì)工程:一把開(kāi)鎖器的得失

社會(huì)工程是國(guó)內(nèi)比較少有介紹或研究的黑客類技術(shù)，但其實(shí)社會(huì)工程也是黑客技術(shù)中最古老和最有深度的一門技術(shù)。

會(huì)上，來(lái)自SANS的Jayson Street和畢馬威的Chris Nickerson分別做了題為“社會(huì)工程學(xué)策略”和“紅隊(duì)測(cè)試工程學(xué)”的演講。在他們看來(lái)，安全并不只是密碼、防火墻、入侵檢測(cè)，安全來(lái)自方方面面。

在Chris Nickerson介紹的例子中，在他為一家公司進(jìn)行安全評(píng)測(cè)時(shí)，他并沒(méi)有用任何網(wǎng)絡(luò)攻擊技術(shù)，而是花了5分鐘把一臺(tái)服務(wù)器從公司中偷了出來(lái)。

Chris Nickerson希望用這個(gè)例子說(shuō)明，安全的威脅來(lái)自方方面面，稍有疏漏就會(huì)被人有機(jī)可乘，也許單位購(gòu)買了很貴的安全設(shè)備，但有時(shí)候一把開(kāi)鎖器(lockpick)就能讓所有的設(shè)備都沒(méi)用。

信息戰(zhàn):全球監(jiān)視的真實(shí)可能

信息戰(zhàn)是本次會(huì)議的另一個(gè)重要議題。來(lái)自Xero Bank的Steve Toplez和網(wǎng)絡(luò)安全分析師Mohammad Hluchan分別做了“全球監(jiān)視，現(xiàn)代信號(hào)情報(bào)學(xué)真實(shí)的可能”和“激進(jìn)分子和恐怖分子網(wǎng)頁(yè)：網(wǎng)絡(luò)安全回顧”的報(bào)告。

Steve Toplez對(duì)西方國(guó)家的網(wǎng)絡(luò)監(jiān)視策略以及每個(gè)國(guó)家的諜報(bào)系統(tǒng)的監(jiān)視范圍做了介紹。作為一名黑客的Mohammad Hluchan，他同時(shí)是一位語(yǔ)言天才，精通8種語(yǔ)言，他的報(bào)告介紹了中東地區(qū)各個(gè)國(guó)家黑客的活動(dòng)以及他們的水平，在他看來(lái)，大多數(shù)阿拉伯國(guó)家的黑客以宣傳自己的民族主張為主，同時(shí)他們的技術(shù)手段還比較原始，比整個(gè)世界的水平要落后5~10年。

硬件安全:生物指紋也會(huì)被破解

相對(duì)于門檻比較低的網(wǎng)絡(luò)安全，硬件安全一直是黑客中的小團(tuán)體，但硬件安全帶來(lái)的威脅卻可能還要大于網(wǎng)絡(luò)安全。來(lái)自沈陽(yáng)工程學(xué)院的周振柳博士介紹了固件安全，通俗地來(lái)說(shuō)，就是如何在計(jì)算機(jī)中的BIOS里加入后門程序，由于它工作在操作系統(tǒng)啟動(dòng)之前，這樣的后門程序可以躲避操作系統(tǒng)之上的偵查手段，而這樣的程序用在好的方面可以進(jìn)行取證，用在壞的方面就可以竊取信息，破壞系統(tǒng)。隨著越來(lái)越多的設(shè)備擁有自己的固件，固件安全也將成為一個(gè)熱門的話題。

來(lái)自Aperture Labs 的Adam Laurie 做的報(bào)告“RFID IOts!”可能是本屆會(huì)議上最精彩的報(bào)告。在報(bào)告中，Adam介紹了目前的各種電子卡片（磁卡、IC卡等），以及生物指紋的破解技術(shù)，并現(xiàn)場(chǎng)進(jìn)行了演示，把Jayson E. Street電子護(hù)照中的照片換成了本·拉登的照片，同時(shí)還演示如何對(duì)虹膜和指紋進(jìn)行復(fù)制，只要對(duì)人眼和指紋進(jìn)行掃描，現(xiàn)有的技術(shù)設(shè)備就可以復(fù)制出相同的特征對(duì)電子檢測(cè)設(shè)備進(jìn)行欺騙。

作為硬件黑客，他對(duì)身份證的芯片修改似乎易如反掌，酒店房卡也被他當(dāng)場(chǎng)破解，克隆出一張可以作為“萬(wàn)能鑰匙”的房卡。

網(wǎng)絡(luò)安全:再堅(jiān)固的堡壘也會(huì)被攻克

不論在哪個(gè)會(huì)議上，網(wǎng)絡(luò)安全都是最熱門的話題，而本屆峰會(huì)上網(wǎng)絡(luò)安全方面的話題也是非?；钴S。

網(wǎng)絡(luò)安全方面的重頭戲是來(lái)自德國(guó)的黑客FX所作的報(bào)告“路由器的利用”，介紹了如何攻擊最難攻擊的操作系統(tǒng)IOS。IOS擁有20多萬(wàn)個(gè)版本，而且每個(gè)版本的漏洞在另一個(gè)版本中都無(wú)效，導(dǎo)致了IOS的攻擊很難進(jìn)行，但FX發(fā)現(xiàn)，不同的IOS使用的系統(tǒng)引導(dǎo)程序的版本是有限的，并以此為突破口，實(shí)現(xiàn)了對(duì)IOS的成功攻擊。

此外，來(lái)自約翰霍普金斯大學(xué)的Joe McCray和來(lái)自印度的Aditya K Sood分別介紹了高級(jí)SQL注入技術(shù)和Web2.0下的網(wǎng)頁(yè)溢出技術(shù)；東南大學(xué)計(jì)算機(jī)學(xué)院楊望和北京大學(xué)周昌令就教育網(wǎng)內(nèi)的僵尸網(wǎng)絡(luò)監(jiān)測(cè)和IPv6安全分別做了報(bào)告；來(lái)自安全公司的李兆星則介紹了A R M平臺(tái)下的蜜罐系統(tǒng)，這套系統(tǒng)目前已經(jīng)在中國(guó)部署了14000多套，成為全世界最大的惡意樣本收集平臺(tái)。

除了以上主題，還有很多精彩的主題，如來(lái)自中科院的丁麗萍教授介紹了虛擬機(jī)系統(tǒng)下的安全，我國(guó)數(shù)據(jù)恢復(fù)技術(shù)學(xué)科的創(chuàng)始人戴士劍介紹了司法取證技術(shù)，中國(guó)黑客的代表人物萬(wàn)濤做了關(guān)于中國(guó)黑客文化的報(bào)告“黑客文化， 泛化與犯罪治理趨勢(shì)分析與研究”。

黑客奪旗大賽

競(jìng)賽和游戲是本次會(huì)議的另一個(gè)亮點(diǎn)。這次會(huì)議對(duì)大學(xué)生采取免費(fèi)注冊(cè)的優(yōu)惠，希望能夠吸引到大學(xué)中的安全愛(ài)好者，通過(guò)參加游戲?qū)W習(xí)到各種技術(shù)，體會(huì)到黑客的挑戰(zhàn)精神。

競(jìng)賽的重頭戲是黑客奪旗大賽（Capture The Flag, 簡(jiǎn)稱CTF）。CTF是每年國(guó)際黑客大會(huì)DEFCON的標(biāo)志性賽事，有全球上百支不同的黑客隊(duì)伍參加。比賽分兩個(gè)階段，第一個(gè)階段是不同黑客技術(shù)門類題目的初選，比賽隊(duì)伍通過(guò)答題獲得一定的分?jǐn)?shù)，通過(guò)最后分?jǐn)?shù)的排名決定決賽隊(duì)伍。決賽時(shí)比賽方會(huì)安排一些配置好的系統(tǒng)，讓不同的隊(duì)伍之間互相進(jìn)行攻擊，通過(guò)攻擊對(duì)方的系統(tǒng)，放入自己的旗（程序或者文件等），并拿走對(duì)方的旗來(lái)決定勝負(fù)。

本次會(huì)議的CTF比賽設(shè)計(jì)者是DEFCON兩屆CTF冠軍隊(duì)伍的成員之一Jordan Wiens。在這樣的游戲中，不僅僅考驗(yàn)一個(gè)隊(duì)伍黑客技術(shù)的全面性，更考驗(yàn)他們的協(xié)同配合、隊(duì)伍管理的技能。

除此之外，會(huì)議還設(shè)置了很多趣味性的游戲，如XBOX下的拳擊、扔光碟、走迷宮、福爾摩斯等，這些游戲要求參加的人必須現(xiàn)場(chǎng)和不認(rèn)識(shí)的人組隊(duì)，在游戲中體現(xiàn)出人際交互和社會(huì)工程學(xué)的應(yīng)用。

（作者單位為東南大學(xué)計(jì)算機(jī)學(xué)院）