黑帽大会暴联想、苹果等厂商安全缺陷
2009-02-24 分类：企业IT
DoSECU安全报道 2月24日消息：面部识别技术或许被视为保护笔记本电脑安全的可靠方法。但安全专家Minh Duc Nguyen则认为，IT安全的未来并非总是充满光明。Nguyen在2月举行的Black Hat DC安全大会上对此做出了阐述，这次会议的论题涉及了阻断生物测定，SSL加密到攻击Mac计算机的恶意程序调查等。
在生物测定方面，越南Bach Khoa互联网安全中心资深分析师Nguyen发现了一种方法可以绕过联想，东芝和华硕计算机公司等厂商在笔记本电脑上应用的面部识别技术。应用面部识别技术的系统是利用笔记本电脑内置的摄像头和面部识别软件而不是利用密码来帮助用户对设备进行访问控制。
根据Nguyen的说法，使用笔记本电脑所有者的数码照片就能很容易的蒙混过关。
Nguyen在大会上对其进行了展示后解释说"面部识别技术的问题在于，它的技术原理无法区别影像和所有者真实面部之间的不同。因此，如果攻击者获取了笔记本电脑所有者面部的照片，他就能重新生成伪造的面部识别照片，然后轻而易举的使用这些特殊照片来登录笔记本电脑"。
Nguyen表示"我们的研究显示这三家厂商的面部识别软件都存在缺陷。尽管他们采取了更加专业的技术手段来改善这方面的局限性，但这个问题却无法得到彻底解决。我们将这个案例提交给了黑帽大会。结论是这种特性不足以保护用户的笔记本电脑的安全"。
Nguyen建议东芝，联想和华硕公司停止使用这项技术，并将这项技术的局限性提示给用户。
意大利安全专家Vincenzo Iozzo对Apple Mac笔记本电脑用户的建议稍显乐观。Iozzo向与会者展示了黑客将恶意密码注入Mac OS X的内存却不留任何痕迹的方法。不过攻击只有在Mac OS X没有打补丁的情况下才能得逞。这也就是说IT管理员只要确保计算机被完整的打过补丁就能保证无忧。
Iozzo解释说，黑客在攻击计算机时面临几个挑战。主要的挑战就是要避开防病毒软件的侦测，运行应用软件的时候被攻击计算机没有显示，在硬盘中不会留下蛛丝马迹。
Iozzo称"我们的技术已经部分的解决这些问题。事实上整个攻击都是在内存中完成的，这就意味着当计算机关机后用户就不知道会发生什么，因为攻击在计算机中是不留痕迹的。我们的技术是要求攻击者注入和执行被攻击计算机中不显示的二进制代码，这样第二个问题也被解决了"。
"最后当有人要运行被攻击计算机中的二进制代码时就必须执行syscall和（）。这可能会让入侵检测系统或者其他类型的安全措施警报频发，由此发现攻击者的入侵行为"。
研究专家Moxie Marlinspike还应用案例说明对应用工具重新设计来窃取计算机内的数据已经不是什么秘密。这些工具能让使用者发动中间攻击，更改，阻断和记录HTTPS流量。
结果是用户被欺骗以为他们登录的是合法的HTTPS站点，诸如在线银行联机界面，但事实却不是这样。Marlinspike表示"大多数用户都是通过点击链接或者跳转来到达SSL，这两种方式都是可以攻击的点。问题的关键是我们所有的安全协议是以不可靠的网络协议为基础的"。
错过Black Hat DC的人员敬请期待6月25日到30日在美国拉斯维加斯举行的Black Hat大会。
