各家服务提供商为了自己的权益

2018-09-21 17:07:45 阅读 174 views 次

  中新网8月8日电美国当地时间8月8日,两大世界信息安全会议BlackHat和DEFCON将在美国拉斯维加斯正式揭幕。来自全球的数万名白帽黑客、安全厂商、高校学者、机构等安全从业人员齐聚,高度关注这两场盛会将来带来怎样的前沿技术饕餮盛宴,阿里安全八大实验室多名安全专家受邀参会,带来的三大议题和两项演示备受瞩目。

  据悉,BlackHat和DEFCON由传奇人物JeffMoss分别于1997年和1993年创办,不过从2014年开始才有中国白帽受邀的身影。阿里安全自2015年至今已数次参加两大顶会,曾有议题被大会誉为“印象最深刻的”。

  2018年更是阿里安全大爆发之年,BlackHat的亚洲和欧洲会议已有多名安全专家议题入选,此次共有六名安全专家受邀参会,“议题+现场演示”的数量占到中国互联网公司整体参会数量的五分之一,以自身能力向世界展示中国安全行业越来越强大的实力。

  据悉,BlackHat作为全球知名顶会,议题审核严苛为业内,每年的议题最终通过率不足20%,而BlackHatUSA更是顶会中的顶会,入选议题含金量最高。

  阿里安全猎户座实验室安全专家五达从2015年至今已三次在BlackHat,其中2017-2018年两次“中标”BlackHatUSA的议题。与往年专注物联网安全漏洞的方向不同,五达今年的议题创新性地解决了视频水印叠加这一用户痛点。

  近年来,视频直播服务在中国越来越热,各家服务提供商为了自己的权益,纷纷在用户的原创内容上加上可见水印,有的视频在服务商之间多次转载,甚至会被盖上两三个水印。

  水印毫无美感,且占屏幕比例越来越大,让原创视频作者和观看视频的用户,五达通过技术手段解决了这一问题。“原创视频作者可以在自己的视频流中,预置一个反向水印,抵消服务提供商的水印,”五达表示,目前已经在一家纳斯达克上市的视频提供商的线上系统做了原理验证,可以实现近乎100%的水印主动消除。

  “阿里安全猎户座及双子座实验室在版权方面,也有很多的技术积累与。这个研究的目标是希望广大视频厂商一道携起手来,早日抛弃这种的、以用户体验为代价的方式,使用现代化的版权手段。”五达将在时间10日凌晨三点的BlackHat现场,通过50分钟的分享技术细节和安全解决方案。

  作为全球参会人数最多的白帽黑客顶会,DEFCON的含金量也极高。已数次参加DEFCON等顶会,阿里安全猎户座实验室安全专家蒸米要和搭档白虬两次登台,分享他们在苹果系统研究上的突破:在iOS11.4上展示两个全新的沙箱逃逸0day漏洞利用、一款macOS上静态分析以及动态fuzz的工具。

  近年来,苹果在macOS和iOS的防护中都引入沙盒,并采用白名单的方式,只允许苹果信任的安全接口接入,这意味着,如果能够突破沙盒,则可以打开更多内核的接口。蒸米表示,将在中展示如何在稳定性极高的前提下,获取系统服务的控制权限,可实现一分钟越狱iOS11.4。

  在发现这些漏洞的安全风险后,如何解决?白虬的议题将明确指出,通过一款全新的静态分析工具和动态fuzz系统,可自动化处理、简化安全分析过程,迅速发现这些安全漏洞,并呈现漏洞危害,分析漏洞形成原理、利用方法、防御手段。

  专注iOS和macOS安全研究,蒸米和白虬已多次向苹果提交漏洞,获数次致谢,“这次中稿之后,已于6月提交漏洞报告,获得苹果致谢”。两人博士毕业,先后进入阿里安全,搭档不足一年已建树颇多。

  除了议题,两项演示也同样引人关注。作为阿里安全八大实验室之一,蚂蚁金服光年实验室安全工程师周宇、高级安全专家曲和将在BlackHatArsenal“军械库”,演示针对VxWorks系统的高级模糊测试框架ChangWei,利用该框架可高效地发现系统本身和开发者代码中的潜在漏洞。

  蚂蚁金服光年实验室高级安全工程师周智将在DEFCONDemoLab(演示实验室)演示一款专门为iOS平台应用做安全测试和动态分析的工具Passionfruit,帮助开发者和安全研究人员方便快捷地对iOS应用的面进行测试分析,提升iOS应用的安全性。

版权声明:本文著作权归原作者所有,欢迎分享本文,谢谢支持!
转载请注明:各家服务提供商为了自己的权益 | 社会问题