Самы Қамқар - Samy Kamkar

Самы Қамқар
Samy Kamkar.jpg
Қамқар сөйлейді Black Hat конференциясы 2010 жылы
Туған (1985-12-10) 10 желтоқсан 1985 ж (34 жас)
ҰлтыАмерикандық
КәсіпҚұпиялылық пен қауіпсіздікті зерттеуші, компьютер хакер, сыбыс беруші және кәсіпкер
БелгіліШығару Сами құрты, Evercookie, SkyJack және iPhone, Android және Windows Ұялы телефонды қадағалау зерттеу
Веб-сайтсамы.pl

Самы Қамқар (1985 жылы 10 желтоқсанда туған)[1] американдық құпиялылық пен қауіпсіздікті зерттеуші, компьютерлік хакер, ысқырғыш және кәсіпкер. 16 жасында ол орта мектепті тастап кетті[2] және бір жылдан кейін бірлесіп құрды Фональдылық, бастапқы қаржыландыруға негізделген 46 миллион доллардан астам жеке қаржыландыруға негізделген біріккен байланыс компаниясы.[3][4] 2005 жылы ол ең жылдам таралуын жасап шығарды вирус барлық уақытта,[5] The Менің орным құрт Сэми, және кейіннен бұл үшін рейдке өтті Америка Құрама Штаттарының құпия қызметі, астында Патриоттық акт.[6] Ол сондай-ақ жасады SkyJack, кез-келген жақын жерді бұзатын арнайы ұшақ Тотықұс дрондары оларды оның операторы басқаруға мүмкіндік береді [7] және жасады Evercookie өте құпияда пайда болды NSA құжат[8] арқылы анықталған Эдвард Сноуден және алдыңғы бетінде The New York Times.[9] Ол сонымен бірге жұмыс істеді The Wall Street Journal, және заңсыздықты анықтады ұялы телефонды қадағалау қайда алма iPhone, Google Android және Microsoft Windows Phone мобильді құрылғылар өздерінің бас компанияларына GPS және Wi-Fi ақпаратын жібереді. Оның мобильді зерттеулері компанияларға қарсы сот ісін жүргізуге және Капитолий төбесінде құпиялылық туралы сот отырысына себеп болды.[10]

Жұмыс

Сами құрты

2005 жылы Қамқар шығарды Сами құрты, алғашқы көпшілікке таралған, өздігінен таралатын сайт аралық сценарий құрты Менің орным.[11] Құрт а пайдалы жүктеме бұл жәбірленушінің профилінде «бірақ бәрінен бұрын Сами менің кейіпкерім» деген жолды көрсетіп, жәбірленушінің Қамқарға досы туралы сұрау салуына себеп болады. Пайдаланушы сол профильді көргенде, олардың парағында пайдалы жүктеме салынатын болады. 20 сағат ішінде[12] 2005 жылы 4 қазанда шыққаннан кейін миллионнан астам пайдаланушы пайдалы жүктемені орындады,[13] оны ең жылдам тарату вирус барлық уақытта.[5] MySpace командасы құрттың жұмысына мүмкіндік беретін ақаулықты жою үшін MySpace-ті уақытша жауып тастады.

2006 жылы Қамқарға шабуыл жасалды Америка Құрама Штаттарының құпия қызметі бастап кеңейтілген және электронды қылмыспен күрес жөніндегі жедел топ Патриоттық акт, құртты босату үшін.[6] Ұсынылғаннан кейін процестік келісім Қамқар Лос-Анджелестің Жоғарғы сотында компьютерлік хакерлік қылмысы үшін айыпты деп танылып, үш жыл сынақ мерзімін өтеп, 20000 АҚШ доллары көлемінде айыппұл төлеген.[14] Сондай-ақ, жоғарыда аталған келісім бойынша, Қамқарға бір рет өңделмеген компьютер ұстауға рұқсат етілді, бірақ жазасын өтеу кезінде кез-келген интернетке тыйым салынды.[15] 2008 жылдан бастап Қамқар тәуелсіз компьютерлік қауіпсіздік және жеке өмірге қатысты зерттеулер мен кеңес беру жұмыстарын жүргізіп келеді.[16]

Көрнекті жұмыстар

2008 жылы Камкардың компьютерлерге шектеуі алынып тасталғаннан кейін ол өзінің әлсіз жақтарын көрсетті Visa, MasterCard және Europay несиелік карталар далалық байланыс (NFC) және радиожиілікті сәйкестендіру (RFID) кірістірілген және шығарылған бағдарламалық жасақтама несиелік карта туралы ақпаратты, соның ішінде аты-жөнін, несие картасының нөмірін және жарамдылық мерзімін осы карталардан сымсыз ұрлау мүмкіндігін көрсетеді.[17][18] Ол сонымен бірге демонстрация кодын шығарды сымсыз жеке тұлғаны ұрлау туралы физикалық қол жетімділікті басқару карталарын қоса, HID Global карталарын пайдалану RFID тек несиелік карта өлшемді құрылғыны қолдана отырып, кез-келген компьютердің қосылуын қажет етпейді.[19][20]

2010 жылы Қамқар оннан астам елге саяхаттап, өзінің мобильді қауіпсіздік саласындағы зерттеулері мен өзінің әлсіз жақтары туралы айтты криптоанализ туралы PHP бағдарламалау тілі, соның ішінде әлемдегі ең ірі жылдық хакерлік конвенцияларда сөйлеу DEF CON, Black Hat брифингтері және ToorCon.[21][22][23]

2010 жылдың соңында Қамқар саяхаттады Братислава қатысу Фарадей хак күні саяси және корпоративті сыбайлас жемқорлықты ашуға көмектесу Словакия үкіметі.[24]

2011 жылдың басында Қамқар Директорлар кеңесінің құрамына кірді Батыл жаңа бағдарламалық жасақтама,[25] бастапқыда миллион доллармен қаржыландырылатын коммерциялық емес ұйым АҚШ Мемлекеттік департаменті грант.[26] Құруға коммерциялық емес ұйым жауапты uProxy бірге Вашингтон университеті және Google идеялары, репрессиялық режимдердегі пайдаланушыларға Интернетке бақылаусыз қол жеткізуге мүмкіндік беретін шолғыш кеңейтімі. Коммерциялық емес ұйым да құрылды Шам, желідегі цензураны айналып өтіп, цифрлық ақпарат пен сөз бостандығын басып тастауға арналған желі.[27]

Босатудан басқа Evercookie ақысыз және ашық бастапқы бағдарламалық жасақтама ретінде және Apple, Google және Microsoft корпорацияларының деректердің құпия жиналуын көрсете отырып,[28] 2011 жылы Kamkar сонымен қатар KISSmetrics, интернет-жарнама желісі және Hulu тұтынушылар оларды бірегей бақылау идентификаторларын Flash cookies-ке сақтай отырып жойғаннан кейін бақылау кукилерін қайта жасаушы ретінде көрсетті. HTML5 жергілікті сақтау орны, олар тұтынушылар өздерінің cookies файлдарын жойған кезде автоматты түрде жойылмады.[29][30]Кукиді қайта реставациялауды жүзеге асыратын бірнеше компания кейіннен сот ісіне қатысты адвокаттармен сотқа жүгінді. 2013 жылдың қаңтарында KISSmetrics өзінің кукиді қайта қалпына келтіруге байланысты сот ісін $ 500,000 төледі.[31]

PHP-дегі кемшілік

2010 жылдың басында Қамқар барлық нұсқаларында үлкен кемшілік тапты PHP бағдарламалау тілі, атап айтқанда жалған кездейсоқ сандар генераторы шабуылдаушыға ұрлауға мүмкіндік берді сессия идентификаторы пайдаланушының және олардың сеансын қабылдау.[32] Қамқар патч шығарды[33] және бекітілгеннен кейін, ірі банктерге, әлеуметтік желілерге және форумдарға шабуыл жасау мүмкін болатын эксплуатация кодын шығарды.[34][35][36]

Evercookie

2010 жылы Қамқар шығарды Evercookie, «бәлкім, өшіруге болмайтын» куки, ол кейіннен алдыңғы бетінде құжатталған The New York Times.[9][37][38] 2013 жылы өте құпия NSA құжат сыртқа шықты[8] арқылы Эдвард Сноуден қадағалау әдісі ретінде Evercookie-ге сілтеме жасай отырып Тор пайдаланушылар.

Мобильді зерттеу

2011 жылы Қамқар iPhone, Android және Windows Phone мобильді құрылғыларының GPS координаттарын үздіксіз жіберіп отырғанын, Wi-Fi MAC мекен-жайларымен, сәйкесінше Apple, Google және Microsoft корпорацияларына жіберіп отырғандығын анықтады және бірнеше алдыңғы бет арқылы өз зерттеулерін жариялады. The Wall Street Journal мақалалар.[28][39][40] IPhone «орналасу қызметі өшірілген кезде де» орналасу деректерін жібере береді.[39] Windows Phone сонымен қатар «пайдаланушы қолданбаға рұқсат бермеген кезде де» орын туралы деректерді жібере береді. Ол осы деректердің бір бөлігін Google ашқанын анықтады және ол босатты Androidmap Google-дің Wi-Fi MAC мекен-жайлары туралы мәліметтер базасын ашатын құрал, Android телефондары толтырылған физикалық координаттармен байланысты.[41]

Parrot AR Drone зерттеуі

2013 жылы Қамқар құрды SkyJack, жұмыс істеуге арналған ашық бастапқы бағдарламалық жасақтама мен жабдықтың тіркесімі ұшқышсыз ұшу құралы ол «автономды түрде іздеу, бұзу және басқаларды сымсыз басып алу үшін жасалған Тотықұс дрондары wifi қашықтықта, зомби-дрондар армиясын құру ».[7][42] Бағдарламалық жасақтама мен жабдықтың барлық сипаттамалары оның бастапқы веб-сайтында ашық дереккөз ретінде шығарылды.[42][43] Бағдарламалық жасақтама бір күннен кейін шығарылды Amazon.com жарияланды Amazon Prime Air, 2015 жылдың басында шағын пакеттерді жеткізу үшін дрондар көмегімен болашақ жеткізілім қызметі.[44]

Автокөлік қауіпсіздігін зерттеу

2015 жылдың 30 шілдесінде Қамқар OwnStar - а немесе оған жақын жерде жасыруға болатын шағын электрондық құрылғыны ұсынды General Motors көлік құралы арасында болуы керек OnStar сілтеме және драйвердің OnStar RemoteLink қолданба. Бұл классикада ортада шабуыл, Kamkar немесе кез-келген рұқсат етілмеген пайдаланушы көлік құралын табу, ашу немесе іске қосу үшін OnStar командаларын ауыстыра алады. 11 тамызға дейін General Motors мұндай шабуылдарды бұғаттау үшін OnStar серверлік бағдарламалық жасақтамасын және RemoteLink қосымшасын жаңартты.[45]

2015 жылы Қамқар әмиян мөлшерінде арзан электронды қондырғы жасады, оны құлыптаулы көлік құралына немесе жанында жасыруға болатын, біреуін түсіру мүмкін болды деп хабарланды. кілтсіз енгізу автомобильдің құлпын ашу үшін кейінірек қолданылатын код. Құрылғы көліктің қабылдауына тосқауыл қою үшін кептеліс сигналын жібереді жылжымалы код автомобильдің құлпын ашу үшін қажет болған екі әрекеттің екеуінен де осы сигналдарды жазу кезінде иесінің фобасынан сигналдар. Тіркелген бірінші код көлік құралына иесі екінші рет әрекет жасаған кезде ғана жіберіледі, ал жазылған екінші код болашақта пайдалану үшін сақталады. Қамқар бұл осалдық көптеген жылдар бойы көлік құралдарының түрлерінде кеңінен танымал болғанын, бірақ бұрын көрсетілмегенін мәлімдеді.[46] Үшін демонстрация жарияланды DEF CON 23.[47]

Магниттік жолақ пен несие карталарын эмуляциялауға арналған құрылғы

2015 жылдың 24 қарашасында Самый Камкар MagSpoof шығарды;[48] кез-келген магниттік жолақты немесе несиелік картаны «сымсыз» жалғауға / имитациялауға болатын портативті құрылғы, әдеттегі магниттік жолақ картасын шығаратын күшті электромагниттік өрісті генерациялау арқылы стандартты магистрлік оқырмандарда да.

Өз сөзімен айтқанда, MagSpoof дәстүрлі несиелік карта ретінде қолданыла алады және барлық несиелік карталарыңызды жай ғана сақтай алады (және өзгертумен, чипке қойылатын талаптарды техникалық тұрғыдан өшіре алады) әртүрлі формалық факторларда немесе кез-келген салада қауіпсіздікті зерттеу үшін қолдануға болады. дәстүрлі түрде магистрді талап етеді, мысалы, несие карталарын оқитын оқырмандар, жүргізуші куәліктері, қонақ бөлмелер кілттері, автотұрақ билеттері және т.б.

Интернет-трафикті ұрлау

2016 жылдың 16 қарашасында Сами Камкар PoisonTap шығарды;[49] мақсатты құрылғыдағы барлық интернет-трафикті ұрлауға болатын, компьютер құпия сөзбен қорғалған және құлыпталған болса да, пайдаланылатын USB ethernet эмуляторы.

Артқы жағынан өңделетін құрылғы HTTP (қауіпсіз емес) веб-сайттарындағы пайдаланушының cookie файлдарымен сұранысты қашықтан мәжбүрлеп жіберуі мүмкін, бұл қауіпсіздік жалаулары жоқ, яғни шабуылдаушы жергілікті пайдаланушыны қашықтан кейіптей алады.

Әдебиеттер тізімі

  1. ^ «Twitter / samykamkar». Twitter.
  2. ^ «Сами Камкарға компьютерге 3 жылдық тыйым салынды, енді ол хакерлік қаһарман». Fusion (телеарна). 2015 жылғы 28 қыркүйек. Алынған 2015-09-28.
  3. ^ «Fonality - CrunchBase профилі». CrunchBase.
  4. ^ «Ашық қайнар көз - айқындық». Intel.
  5. ^ а б Джеремия Гроссман (сәуір 2006). «Сценарийлердің құрттары мен вирустары: жақындаған жіп және ең жақсы қорғаныс» (PDF). Whitehat Security. Архивтелген түпнұсқа (PDF) 2011-01-04.
  6. ^ а б «[Owasp-losangeles] OWASP LA». Алынған 25 желтоқсан 2015.
  7. ^ а б Гудин, Дэн (2013-12-08). «Хакерлерге қарсы ұшу басқа дрондарды аулайды, оларды зомбиге айналдырады». Ars Technica.
  8. ^ а б "'Тор Стинктің презентациясы «. The Guardian.
  9. ^ а б «Жаңа веб-код құпиялылыққа қатысты мәселелерге қатысты». The New York Times. 10 қазан 2010 ж. Алынған 2011-05-19.
  10. ^ «Google және Apple жоғары технологиялық құпиялылықты тыңдау үшін Capitol Hill-де». CNN.
  11. ^ «Сайт аралық сценарий құрты MySpace-ке соғылды». Betanews. 13 қазан 2005 ж.
  12. ^ «MySpace құрт туралы түсініктеме». Архивтелген түпнұсқа 2015 жылғы 24 қыркүйекте. Алынған 25 желтоқсан 2015.
  13. ^ «Сайт аралық сценарийлер құрттары MySpace-ті басып қалады». Slashdot.
  14. ^ «MySpace Сами Камкарға сот үкімі туралы айтады». TechSpot. Алынған 2017-07-15.
  15. ^ «Тарихты бұзудың ең керемет сәттері: Сами Камкар менің кеңістігімді басып алды». Вице-видео. Алынған 2017-07-15.
  16. ^ «Фондық деректер». The Wall Street Journal. 2011 жылғы 22 сәуір.
  17. ^ «chap.py».
  18. ^ «RFIDiot құжаттамасы».
  19. ^ «SpiderLabs - Proxmark3-ке кіру».
  20. ^ «Proxmark3 коды».
  21. ^ «Samy Kamkar Talks». Алынған 2013-04-28.
  22. ^ «DEF CON 18 спикерлері». Алынған 2013-04-28.
  23. ^ «Black Hat USA 2010 спикерлері». Алынған 2013-04-28.
  24. ^ «Фарадей хак күні». Алынған 2013-04-28.
  25. ^ «Батыл жаңа бағдарламалық жасақтама».
  26. ^ «Батыл жаңа бағдарламалық жасақтама».
  27. ^ «Шам».
  28. ^ а б «Apple, Google пайдаланушы деректерін жинайды». The Wall Street Journal. 2011 жылғы 22 сәуір. Алынған 2011-05-19.
  29. ^ «Ашкан Солтанидің қайта қосылуы».
  30. ^ «Samy Kamkar KISSmetrics зерттеуі» (PDF).
  31. ^ Дэвис, Венди (2013-01-23). «KISSmetrics суперкукиді реттеуді аяқтады». MediaPost Жаңа. Алынған 2013-01-18.
  32. ^ «Кездейсоқ сандармен PHP қателіктері».
  33. ^ «PHP 5.3.2 шығарылымы туралы хабарландыру».
  34. ^ Балдони, Роберто; Чоклер, Григорий (2012). Бірлескен қаржылық инфрақұрылымды қорғау.
  35. ^ «PHP сеанстарына және кездейсоқ сандарға шабуыл».
  36. ^ «Кеңес: PHP сеансының идентификаторын құру кезінде әлсіз RNG сессияны ұрлауға әкеледі».
  37. ^ "'Evercookie - бұл сіз тістегіңіз келмейтін куки «. MSNBC. 22 қыркүйек 2010 ж. Мұрағатталған түпнұсқа 2010 жылдың 24 қыркүйегінде. Алынған 2011-05-19.
  38. ^ «Сұрақ-жауап: Evercookie жасаушысы Самый Камкар».
  39. ^ а б «Жұмыстар iPhone Imbroglio-ны тыныштандыруға тырысады». The Wall Street Journal. 2011 жылғы 28 сәуір. Алынған 2011-05-19.
  40. ^ «Microsoft телефонның орналасу деректерін рұқсатсыз жинайды». CNET желілері. 2011 жылғы 2 қыркүйек. Алынған 2011-05-19.
  41. ^ «Google-дің Wi-Fi дерекқоры маршрутизатордың нақты орналасқан жерін білуі мүмкін». Huffington Post. 2011 жылғы 25 сәуір. Алынған 2011-05-19.
  42. ^ а б «Samy Kamkar - SkyJack».
  43. ^ «SkyJack бастапқы коды». 2013-12-08. Алынған 2013-12-08.
  44. ^ Біртүрлі, Адиари. «Амазон 60 минутта ұшатын ұшақтарды ұсынады'". Mashable. Алынған 2013-12-01.
  45. ^ Вудкок, Глен (2015-08-11). «OnStar хакерлерге шабуыл жасайды». Автонет. Алынған 2015-08-11.
  46. ^ Томпсон, Кади (2015-08-06). «Хакер 30 доллар тұратын гаджетті жасады, ол кілтсіз кіретін көптеген машиналардың құлпын ашады». Tech Insider. Алынған 2015-08-11.
  47. ^ Қамқар, Сами (2015-08-07). «Ұрып алғандай басқарыңыз: автомобильдерді сымсыз ұрлауға арналған жаңа шабуылдар мен құралдар». DEF CON 23. Алынған 2015-08-11.
  48. ^ «samyk / magspoof». GitHub. Алынған 25 желтоқсан 2015.
  49. ^ «samyk / poisontap». GitHub. Алынған 16 қараша 2016.

Сыртқы сілтемелер