本周在《黑客与联邦调查局》节目中,前联邦调查局探员克里斯·塔贝尔和前黑帽黑客赫克托·蒙塞古深入探讨了针对意大利政治精英的大规模黑客丑闻,揭露了内部威胁和国际阴谋。他们分析了国家安全局移动设备安全最佳实践,并分享了他们自己遵循这些实践的成功(和失败)之处。此外,还更新了他们的个人生活、社区工作以及道德黑客如何预防此类违规行为。请将您的问题发送至HATF [email protected]。</context> <raw_text>0 吸雪茄的黑客曾制造过一些臭名昭著的黑客攻击。
委员会特别探员克里斯·塔贝尔,我。
小费到五千万。
美元的损失笼罩着日益增长的网络攻击。
欢迎来到《黑客与联邦调查局》。我是克里斯·卡波,前联邦调查局专家,我的整个职业生涯都在从事网络犯罪工作。我像往常一样与我的朋友和播客主持人赫克托·蒙塞古一起,他是一位前黑帽黑客,曾面临125年的监禁。
他多年来一直从事黑客活动,代号为Sabu。我们的故事在2011年6月发生碰撞,当时我逮捕了他,然后说服他在联邦调查局与我合作。赫克托现在是团队研究员和网络安全专家。赫克托。
你今晚过得怎么样?我现在感觉很棒,兄弟。我只是在这里。享受周末。
这周或周末。你可能早早开始了。
谁知道呢?我已经到了这个地步。那么你最近在忙些什么呢?
我认为我们还没有真正谈到我们最近几个月在忙些什么,我们从节目中休息了一段时间,你最近做的一些有趣的事情是什么?
你一直在做什么?哦,伙计,这是一个很棒的问题。让我告诉你,我最近非常忙。
除了与客户一起处理他们的渗透测试和网络风险外,工作方面有很多家庭事务。你知道,我们家有一些新成员加入,对此我感到非常兴奋。但同时,我也做了很多内容创作。你知道,我从来都不太热衷于创作内容。
但是,自从我与你一起,甚至在节目之外,与很多人交流,他们会说,“嘿,你能给我们提供幻灯片吗?你知道,债务演示或演示文稿之类的?”所以我一直在写很多东西,所以一直在做这个,学习如何做这个。我必须提醒你,我没有大学学历。
所以我从来没有机会去学校做幻灯片演示,或者,你知道,做任何课堂上的公开演讲。所以有时候,其中一件事就是我仍然有点紧张,所以是的,我一直坐在那里创作了很多东西,并且一直在这里和那里做一些演示,无论是这里还是Importer Ego,或者可能是网络研讨会之类的东西,为不同的组织做,我这边一直很忙。我没什么好抱怨的。我得听听你的情况,因为我知道你最近也很忙。
我最近也很忙,但我看到了你家新成员的照片,他们非常可爱,我必须说。所以我有点嫉妒。
你知道,我的孩子们开始长大,所以我开始怀念他们小时候。我的意思是,长大后也很酷,你知道,一起做事情很有趣。随着孩子们长大成人,他们会开车,可以带你去任何地方。但是,但是,但是小孩子……
孩子们很小,你知道为什么吗?如果我们能回到兄弟俩的时候。
回到三岁左右,太小了,也许我不想虚度光阴。也许孙子会再次带来美好的事物,在你完成之后。
实际上,这是一个很好的观点,对吧?所以,就像你一样,你可能还需要几年时间。但是,是的,我认为当爷爷的经历会很酷。
我才46岁。我希望我离被称为爷爷还远着呢。
但是,我一直在做很多事情。我很久以前接任了当地社区中心的主任。
所以这占据了我很多时间。嗯,我负责社区中心,并努力使其变得更好。它有点老旧,已经存在了30年。所以,我们正在进行很多改进。我还开始在当地的食物银行工作,然后他们让我加入董事会,然后在1月份,我接任了食物银行的主任。我知道我……
我知道我把自己……
放在了负责的位置上,但这很棒。在我的生活中,有很多参与IT的人,他们出来做IT工作,每月大约有3000名客户。我们大约有150名志愿者,这是一个完全由志愿者组成的组织。
嗯,很好。我喜欢回馈社会。我喜欢IT带来的回报。
当然。不,这绝对是一件好事,我很高兴听到这个消息。
是的,我不希望任何人挨饿。所以,你知道,是的,这是我一直以来都充满热情的事情。我很久以前没有参与这类事情,但现在我有能力做到这一点。
所以我喜欢做。你知道,我告诉过你,我和一群联邦调查局的家伙们一起,每年都会去明尼苏达州的维加斯,观看足球比赛,只是玩得很开心,我们一年见一次面。我告诉你那次旅行的事了,对吧?
对不起。是的,当然。
但在我们大约一个月前刚结束的最后一次旅行中,其中一些家伙,他们开始从联邦调查局退休,在那里工作了20年。他们要去做IT工作,他们也希望参与当地的食物银行。所以我觉得这很好,你知道,如何传播这种……多么美好的事情,你知道,回馈社区。
是的,这……这……这是一件美好的事情。我一直告诉人们,你知道,你有很多粉丝。人们直接告诉我,或者当我做演讲时,人们会说,“嘿,告诉我关于克里斯的事。”所以,克里斯是一个非常关心他人、非常有爱心的人,他想做更多的事情,所以这对我来说很有意义,对吧?所以,我一点也不惊讶你进入了这个领域。
我认为那些有你这样的人在身边的人非常幸运。现在,我要说一个我想到的有趣的想法,我记得几年前读到的一个故事。这两个家伙去抢劫一家酒吧,他们走了进去。
那里全是联邦调查局探员,因为当时正在举行会议或其他什么活动,而这个人就像,“我的生活真糟糕”,对吧?我进了监狱,然后我被抓了。所以,上帝保佑,视频里,我看到一个坏人走进来,四处张望,他只是……只是很高兴自己没有成为IT人员。哦,我的上帝。叫IT人员,你知道,我开始希望……
坏人不会去当地的食物银行,希望如此,所以我们所有的客户都是很好的人。我们有很多志愿者,他们的年龄从退休人员到大学生不等。所以,与不同年龄段的人一起工作很好。
所以,我会告诉你,当我到那里的时候,我希望在夏天去拜访你,和你一起工作,去那里看看。
很有趣。你无法相信有多少人在我的私人生活中来问我关于你的事。我想被介绍。我妈妈是你最大的粉丝之一。她绝对想有一天亲自见你。
但是我遇到的每个人都问,“赫克托怎么样?你最近好吗?我很久没听到他的消息了”,总是问候你。
啊,这太好了。其中之一。我很高兴听到这个消息。如果任何听众来自克里斯的生活,我很好,中国。
我尽量多地向克里斯更新我的情况,即使我们的时间安排都冲突,我们也会尽量做到。我们尽量每周一次,因为你知道生活就是这样。我的生活很充实。是的。
有时候。你让我紧张吗?我几天没联系你,我当时都快吓死了。
是的,是的,所以,对于这里的听众来说,那些很好奇的人,我去波特兰的俄勒冈州参加了一个演示,参加了EAST的活动。我喜欢EAST组织,对于那些不熟悉科技行业或安全行业的人来说,ISSA是……一个非常协调的组织,信息系统安全协会。
它在世界各地都有分会,非常类似于……我非常尊重克里斯,我尊重像你这样的分会,你知道,不同的城市、不同的国家、不同的市政当局、SETA。如果你们只是习惯了EAST组织,就去看看吧。这不会让你失望。
嗯,我现在告诉你,这是一个安全会议,或者……你知道,也许会遇到很多审计师,我遇到了很多审计师,对,但是是的,我去参加了这个活动,嗯,Importer Ego,我把我演示文稿的准备工作和团队练习结合起来,嗯,所以是的,在那段时间里,克里斯,我是一个非常忙碌的家伙。我几乎没看手机。我周四飞过去,周四直接去办公室,周五做演示,然后直接飞回纽约。
在那之后,我没有时间了。那是一天很忙的一天。对不起,对不起。我感到很紧张,因为我无法……我为你感到难过。
我紧张。我确实是这样,在这种情况下,我迷失了方向,你看到了。所以,赫克托……
提到了ISACA,我们在演讲中经常提到这一点,因为我们已经接触到了美国企业界。嗯,如果你们有ISACA分会,你们是IT人员,加入你们当地的ISACA组织,联邦调查局与私营合作伙伴一起运作。他们只是提供良好的信息,良好的会议,我一直说,你知道,与当地执法部门联系,有一个电话号码,这是一个与联邦调查局人员、特勤局人员会面的好地方。
所以,你知道,当黑客攻击发生时,你有人可以联系。所以,向ISACA致敬。ISACA是将我和赫克托联系在一起的主要原因之一,他黑进了IT。我找到了他,我们从那以后就成了朋友。
从那以后一直努力。但是,你知道,让我再说一些,克里斯。你知道,我显然……我一生中犯了一些错误,有时候我会遇到受害者组织,公司是。在我之前,他们曾经被入侵过,他们不相信我,这很有道理,对吧?在某些情况下,他们的领导层并不想与我联系或沟通,对吧?
我……我完全理解,我希望有一天,这些公司能够……与我进行对话,但ISACA并非如此,ISACA非常愿意让我在他们的活动上发言,尤其是克里斯,嗯,我已经……我认为我已经做过一次自己组织的网络研讨会,我只是出现并发言。我和Importer Ego的负责人也成为了朋友。非常好的人。
所以,是的,我要大力推荐ISACA。如果你不知道他们是谁,如果你有当地的分会,那就加入吧,这不会让你失望,你知道,就像你说的那样。会员资格不会带来对话,但他们有……他们有很棒的计划。如果你是一名企业主,并且在这个领域工作,那就加入吧,他们会在新闻报道之前发布警报。所以,如果你想了解情况,那就是你要去的地方。
是的,加入ISACA很好,赫克托。我们已经闲聊了很久了。所以,让我们进入一些故事。
我们先讲一些故事,第一个故事是,一个大规模的黑客丑闻震惊了意大利的政治精英。所以,总统、前总理等都是黑客攻击的目标。他们正在出售高度敏感的数据。
显然,这是对国家安全数据库长达数年的入侵。所以他们雇佣了一个小组来……在晚上闯入他们的服务器。据称,已有四人被捕。还有60人仍在接受调查,指控包括共谋、腐败、非法获取数据以及违反官方机密。你读过这个故事吗?
是的,我读过这个故事,我一直关注着它,你知道,我非常关注地缘政治。当然,我在意大利有朋友和客户,事实上,我本周的一个客户来自意大利,我们谈论这个话题时玩得很开心。
嗯,是的,这非常令人担忧,因为每当你看到政府中的人,一直到总统办公室,嗯,他们是……你知道,一个成功的目标攻击的一部分,这非常令人担忧,因为我们谈论的是不应该落入不应该拥有它的人手中的一些信息,你知道,正如你所知,意大利是美国的主要盟友和伙伴,我们与我们的盟友和伙伴分享信息。所以,你可以想象,如果有一些对我们来说很敏感的信息,我们与总统办公室分享,嗯,那可能会成问题。所以,是的,这是一个疯狂的故事,我的朋友。
是的。所以,它说他们破坏了数据库,该数据库记录了可疑的金融活动,以追踪三个家庭的私人银行交易,警方正在调查……但是,然后这些数据被客户出售,用于敲诈勒索,获利大约为310万欧元,约合340万美元。如果所有这些关于政客做的事情、可疑的金融活动或其他任何事情的信息,为什么执法部门没有进行调查?
这是一个棘手的问题。想象一下,如果这种入侵发生在美国。事实上,我记得90年代的一些故事,也许是当你在欧洲看到某个组织的成员破坏了IT的时候。
公司和会计公司,嗯,在白宫附近,即使这些人来自一个外国国家,这也很令人担忧,因为你知道……他们获得了什么信息?他们能否将其用于积极的活动?在情报活动中。第三,一旦联邦调查局掌握了被盗信息,我们的窃听,你知道,我一直觉得这很有趣,就像,“如果联邦调查局发现了证据,证明某人做错了事,例如,一个政治人物,一个政治家,嗯,你知道,这是否会引发一系列其他调查?我可以想象,如果在意大利发现了不当行为,嗯,被坏人利用,嗯,你知道,意大利网络警察或他们的联邦调查局对应部门会开始调查所有这些活动,以及入侵本身,这会对……比如……比如证据链产生什么影响,你知道,我……我不懂法律,但你知道,我无法想象,从这里出来的信息类型,对正在进行的所有其他调查会产生什么影响。你知道。
本周在《黑客与联邦调查局》节目中,前联邦调查局探员克里斯·塔贝尔和前黑帽黑客赫克托·蒙塞古深入探讨了针对意大利政治精英的大规模黑客丑闻,揭露了内部威胁和国际阴谋。他们分析了NSA移动设备安全最佳实践,并分享了他们自己遵循这些实践的成功(和失败)之处。此外,还更新了他们的个人生活、社区工作以及道德黑客如何预防此类事件。请将您的问题发送至HATF [email protected]。</context> <raw_text>0 例子。亨特的笔记本电脑。我的意思是,这些信息被用于对总统的进一步刑事调查。所以你知道这解决了保管链的问题。但我的意思是,这些数据价值340万美元,美元。如果他们为此付钱进行敲诈勒索,或者他们的政治对手为此付钱,那对这些人来说,这是一个相当高的数字。
这是一笔不错的钱。但说实话,我真的很惊讶,如果你看看那些窃听,呃,牵涉到这位先生,一位IT顾问,他有一个完整的团队,就像一个完整的索非亚工程师团队,负责创建和维护数据库。
所以,关于这些人有趣的是,他们据称拥有大约800条信息,以及80万人意大利和国外的信息。我的问题是,你知道他在和谁打交道,对吧?就像,你知道。
他是和谁。
他把这些信息卖给谁?是的,绝对的。他是把它卖给俄罗斯吗?或者你是在把它交给当地政客,你不想让他们知道一些内幕?
他们来自意大利,任何内部人士都会这样做,因为我认为我们正在了解故事的点点滴滴,但是,是的,是谁付了340万美元。
年的信息?是的,这是一个很好的问题。亲爱的,我认为目前细节还不够。这有点像一个正在进行的故事。
我们每天听到越来越多的消息,但我最惊讶的是,我们只谈论了310万美元。你看到了一些疯狂的犯罪,310万……有了这些信息,似乎有点低。也许,也许我看错了。也许我们被告知这是一个小型行动,但这些家伙拥有的信息,呃,你知道,我认为价值应该更高。我不知道。
你看到了你的男孩,当他们在整个事件中被捕时。纽佐,我想,他的名字。他曾经是匿名黑客组织的一员。
首先,他不是我的男孩,不要这样联系,谢谢……但是,是的,显然他声称在某个时候与匿名组织有某种联系……显然,他承认了这一点,这取决于哪个说法,这可不是一个好兆头,尤其是在被捕后。呃,他发生了什么事?你知道,我不知道,但我猜我们会看到这个故事会如何发展。但是,是的,这只是。
有人可能会兴奋起来。
你可能会认为,他的技能……
他用来入侵的策略,但他也可以通过内部人员获得访问权限。所以他们内部有人。
在内部工作。
我知道你会说到这一点。
是的,内部人员。内部威胁是一个非常现实的问题,大多数组织都不知道如何处理。事实上,不久前我进行了一次非常好的关于流行语的谈话。
事实上,我正在帮助我的一个,我的一个友好公司,我与之有业务往来,他们正在举办一个营销活动,他们想把这个营销,这个营销宾果游戏放在一起,用流行语来解释这些流行语。虽然第一,流行语总是会冒出来。克里斯,你能猜到吗?
那是什么我的。
Photoshop。我提前说我会。
现在说AI,但你过去用的是云。呃,我不知道什么是零。
信任啊,所以当你看到零信任时,我被打败了。不幸的是,理论上,这是当今大多数网络获胜的方式。事实上,NSA有大量的文档说明如何在你的组织内实施零信任的概念。
零信任不仅仅是一件事。它是一个,它是一个不同概念的集合,对吧?至少特权和微分段,它看起来像这样。
所以,对于任何收听这个故事的人,以及正在意大利发生的事情,或者已经发生在意大利的事情,如果你担心内部人员作恶,你必须开始关注,你知道,假设发生了入侵,最坏的情况是什么?在我的网络中,我该如何减轻或限制可能造成的损害?看看零信任,看看核心概念,微分段。克里斯会阻止这个人,或者限制他的损害,他也会限制其他人。所以,我不希望提到在美国也发生过这种情况的人。
这是真的。这是真的。所以,你写的是NSA。NSA刚刚发布了他们的移动设备最佳实践。我们可以看看哪些。
我和你一样,我甚至会告诉你哪些是我没有做到的,所以失败了多少。
他们的标准,好的。所以,当你。
不使用它时,禁用蓝牙。
我这样做。当然,你把它关掉。
是的,我关闭了它,因为电池续航时间很重要。但是,如果你让你的蓝牙搜索设备,是的,我让我的……我今天至少戴了一次耳机。去健身房或出去散步,所以这对我来说太痛苦了。
关掉,对吧?WiFi。不要连接公共WiFi。
好的,这就是你的男孩黑客在灰色地带的地方,对吧?所以,如你所知,我有几部手机。我知道你也有几部手机。
我用来进行公开事务的手机,比如,你知道,价格。在这个,在这个,呃,收听节目的人有我的电话号码。我现在有一个公开的号码。
我用那部手机连接。例如,选择联合航空的WiFi,对吧?我会那样做。
但是对于我的,我的私人手机,我不这样做。所以我有点好。我在中间。
我不连接。我会用,我会带一个iPad,我不在乎所有连接到公共WiFi的,我不会,但它不是用来删除任何东西,任何我使用的真实账户。我不会把我的手机连接到公共WiFi,我不知道。如果我去别人家,他们的访客网络,我会这样做,我只是关闭我的家庭网络。
网络,是的,这很有意义,你知道我听你说的,你在这里用平板电脑做的事情,我最终不得不出去。我确实有一个平板电脑可以用来做这件事,而且我可以,我可以进一步分割,你知道,把公共电话与潜在的标签分开,因为我不总是这样做,我绝对应该这样做更多,更多。
下一个类别是WiFi。我不需要时就禁用WiFi。我绝对没有这样做,因为我永远不会记得重新打开它,我也是。
我违反了这里提供的策略,或者建议,我不保存我的。
当我不用的时候,WiFi。
删除未使用的WiFi。你知道,克里斯,这是一个很好的,因为我去我的手机或我的公共手机,我有大约一万个WiFi配置在我的手机上。我一直想知道,你知道,我是否做过风险评估,这让我很困扰。但是,不,我不删除旧的WiFi。我做。
我在飞机上这样做。我会在飞机上设置,然后去使用WiFi。所以可能一个月一次或两次,我会浏览,真的只是我使用的那个iPad,我会浏览并删除,让我知道我偶尔会拿起我的私人手机,然后浏览并删除这些东西。
但这引出了下一个问题,保持物理控制。我的妻子实际上并没有保持物理控制,如果我能拿到你的手机。但是,是的,我会告诉你,我的手机一直带在身边。没有其他人能拿到它。我不把它放在任何地方,即使在健身房,我也带着它,当我晚上睡觉的时候,你知道,离我最近的东西是我的手机,然后是我的枪。
是的,就是这样。是的,我正要说,我不认为地球上任何人会试图拿走你的手机。这是绝对不行的。
T,T,哦,是的。不,绝对的。至于我,幸运的是,作为前……作为前黑客,我不能拥有任何武器。
所以我总是带着手机。我不把它借出去,也不分享它。如果有人在街上用过我的手机,我不会那样做。
对不起。我宁愿给你几美元。你可以找到一个付费电话,尽管这种方式在你的城市可能不存在了。
但是,而且我还带着一个斜挎包。所以,如果你想拿走我的手机,你必须和我抢。这就是我们所在的位置。
NSA说我们应该有一个可以淹没麦克风的手机壳,以防政府进行窃听攻击。它还可以阻止摄像头。我没有。
我没有。我……产品。这可能是隐私手机壳,对,是的,我。
你知道什么。
观众,如果我们找到一些很酷的想法,或者我有一些想法,关于那种隐私保护手机壳,我没有,我应该有,是的,根据这个,我需要得到,所以这个。
我将要写下的是,我理解,所以我需要你向我解释,他说,不要用大大的粗体字在移动设备上进行敏感的谈话。不能保证能处理安全的语音,所以他们告诉我不要在我的手机上进行敏感的谈话。
也许他们想说的是,你知道,如果你要进行敏感的谈话,你可能不应该在有技术或设备的人周围这样做。我可以理解。
想象一下,他们试图,他们甚至可以在房间里录音什么的。像那样,是的。
如果你能访问一年的权力?他在房间里安装了窃听器。你知道,你去房间和你妻子谈话,一些非常敏感的事情。
你关上门。但是,窃听器在监听,对吧?所以我想他们想说的是,你知道,克里斯,也许你出去打这个电话。
哪些应用程序是合法的,并且只来自官方应用商店。我对此非常虔诚,就像,我甚至不会相信应用商店是官方的。我去网站,让网站带我去应用商店。你知道,域名必须经过验证,现在这个人下载了恶意软件,他永远不会抓住我这样做。人们可能现在已经瞄准我了,因为我说过这些话。
好吧,我们已经看到证据表明,官方应用程序已经被开发人员和维护人员破坏,对吧?所以,仍然存在一些风险。但我也是这么做的。
我不下载任何超出范围的东西。如果我需要一个应用程序,我会从官方商店获取它。呃,至于我的手机,应用程序很少,对吧?我有我需要的东西,就是这样,还有游戏。不,我一直在不断地浏览和删除。
我不再使用的东西。如果我一个月不用它,那就说明有什么问题,是的,我做了,我希望我不要浪费我的生命。我不像我查看我的衣橱。我仍然有几年前穿过的衣服,所以我不知道。所以我想我不是极简主义者,但在我的手机上,我很快就会摆脱应用程序。
哦,是的。顺便说一句,对于收听的各位,NSA之所以提出这个建议,是为了让你们了解如何保护自己和保护你们的移动设备和家庭设备等。这里的核心概念是最大限度地减少你的攻击面。
如果你们还没有意识到这一点,你们真的想最大限度地减少攻击面,最大限度地减少你们的应用程序,禁用不使用的WiFi,删除旧的WiFi配置文件,这可能会给你们带来问题,禁用蓝牙,这又是一个攻击媒介。所以,这实际上是NSA试图在这里推广的。最大限度地减少你的攻击面,尽可能多地减少攻击面,这真是太棒了。
所以,我必须告诉你,Android的安全一直让我很担心,因为我一直,我有Android和iPhone。我还有功能手机。你见过吗?克里斯,功能手机,是的,功能手机。
好的,让我们回到20世纪初或2000年代初期,那时你拥有摩托罗拉Razr,也许是Sidekick,顺便说一句,Sidekick,我认为,我认为那些手机,引号,是智能手机。你可以下载像Java客户端这样的东西,然后通过,你知道,通过数据线什么的,你可以访问服务,等等。所以,在这方面,它是智能的。
对它的攻击非常糟糕。但现在让我们退一步。是Sidekick、Razr之后的一代,它会变成Palm,还记得Palm OS设备吗?其中一些,我认为,我认为他们当时有一款手机,或者他们有一款手机型号,就像那些Palm设备,那些是非常简单的应用程序,你不能通过网络修改或更新应用程序,呃,或者通过空中OTA。
所以,其中一些应用程序,我的意思是,你知道,我们发现当这些手机现在很可能打开时,它们仍然可以工作,主要是因为许多这些设备的目的是提供通话功能,也许是一些短信,也许是一个小日历,就是这样。这就是功能手机。所以我一直在谈论。
关于这一点。很好。是的。下一个是使用生物识别技术。你使用生物识别技术吗?
你的问题很好。所以,现在我是一个守法的公民,我不介意使用生物识别技术。但是,克里斯,我告诉你。
当你不在法律一边的时候,你反对它吗?好吧。
我会说,我最大的担忧是,如果我被捕了,我将与一个不太专业的探员在一起,也许他会把我的手指放在,放在,放在阅读器上,对吧?呃,现在产品学校处理这种情况。但是,如果你去街上,克里斯,你去纽约市。
去街上,你会看到毒贩,他们也不使用生物识别技术。他们使用,你知道,长密码,对吧,呃,所以作为一个守法的公民,我不介意使用生物识别技术,如果我被车撞了,也许,呃,呃,执法人员或呃,救护车人员需要使用我的设备。他们可以把我的手指放在上面,没关系,我不在乎。呃,但这就是为什么。
你认为NSA为什么鼓励人们。
使用生物识别技术,继续。但是,让我们假设NSA在这些建议中是真诚的。你知道,如果他们在这方面是真诚的,那主要是因为人类遵循模式。大多数人都会遵循模式。
本周在《黑客与联邦调查局》节目中,前联邦调查局探员克里斯·塔贝尔和前黑帽黑客赫克托·蒙塞古深入探讨了针对意大利政治精英的大规模黑客丑闻,揭露了内部威胁和国际阴谋。他们分析了NSA移动设备安全最佳实践,并分享了他们自己遵循这些实践的成功(和失败)之处。此外,还更新了他们的个人生活、社区工作以及道德黑客如何预防此类违规行为。请将您的问题发送至HATF [email protected]。</context> <raw_text>0 例如,如果一个针对你的ava服务,他们对你足够了解,更有可能他们会猜出你的PIN码,对吧,可能是生日,可能是你前妻的生日,可能是你的第一个地址,你的第一套房子。而这些信息很多都是公开的。所以我认为这就是NSA推动这一做法的原因。如果你想阴谋论,你也可以说所有这些,并说他们想使用生物识别技术,因为他们已经掌握了每个人的指纹数据库了,你知道的。
我真的很擅长获取人们使用PIN码时的PIN码。我一直都在记录它。我一直是……我是会员。
我们有一次在同一个小组。对面那个人,他是个好人。我不会说出他的名字,但他是个好人。我看到了他的PIN码,我把它记在了脑子里,大概有九个月左右吧。
他带着他的手机,我……我让他相信联邦调查局教过我如何入侵,我认为他的手机可能是iPhone 4或者什么的。我说,把你的手机给我看看。我敢打赌我拿不到你的手机,他不可能,他有一个八位数的PIN码,但我打开了,这让他大吃一惊。
我从未告诉他我是怎么知道的,我说,哦,是的,他们在这个里面安装了一个后门,但我从未进入过它。是的。让他大吃一惊。
我还有一次坐在飞机上,旁边坐着一个非常有名的人,身价数亿美元。是的,我得到了她的PIN码。很快。
是的。所以,我不知道,我不知道为什么。我对PIN码很感兴趣。我认为这能说明一些关于你的事情。一旦我得到了你的PIN码,我就试图弄清楚,你为什么选择这个?
好吧,事情是这样的。从我见过的所有人的PIN码中,那些与我关系密切的人,无论是生活还是生意,等等,总是与他们个人有关的东西。你知道的,孩子的生日之类的。所以我认为这就是NSA的态度,不,不,不,让我们不要使用PIN码,因为我们天生就容易预测。我们确实遵循模式……除非使用比指纹更安全的东西,对吧?
很容易拿到指纹。只需将摄像头安装在你知道的桌子上或类似的地方。很容易就能做到。
你很快。所以,是的,我想你知道PIN码很容易得到。是的,但我得到了你的指纹。我得到了你触摸手机的方式。
所以,完全正确,所以,就像这样,它有缺点,对吧?这种方法有明显的缺点。我同意,特别是如果你很规矩,你什么疯狂的事情都不做……然后你知道你想让别人能够……听着,紧急情况会发生,如果我知道有人跟踪我,而我妈妈的号码在那里,你知道的,也许我会快速给我妈妈打个电话,你知道我的意思吗……
我明白你打电话的意思。
叫我规矩的人,我说不,不,不,不,不,不。也许是五十年代,你知道的。但是听着,我一直称自己为规矩的人。
我甚至不在监狱里。事实上,我实际上知道……我认为现在纽约有一项立法使乱穿马路合法化,我甚至都不这样做。我会等到绿灯亮起,你知道的,所以是的,我……我绝对支持生物识别技术。现在,PIN码,我会祈祷忘记它,是的。
是的,我在这里。那么,更新呢?你对更新怎么样?
更新,是的,我对更新很在行。我有一些,比如我使用的公共手机是Pixel。所以,谷歌会发布安全补丁包。
你泄露了很多秘密。
哦,是的,太多了,让我叫我的那些人。
是的,是的,你总是说太多话。
但是是的,我觉得我使用的公共手机是谷歌Pixel,谷歌一发布安全更新,他们就会立即发送它们,而且他们真的擅长安全更新。所以,是的,至于我的其他手机,那些没有及时更新的手机,我确实会在每个周末手动更新。所以,是的,不是每天都更新。
你知道的,我认为我们没有时间讨论这一行。你知道的,这太多了,但在周末,记住做任何事情,是的,我会描述一下手机。我会去所有手机那里,并在适当的时候开始更新它们。
是的,另一个我总是做的就是电源循环。将设备关闭并重新启动,我每周大概每48小时做一次,我认为这样效果更好。我认为它会清除一些东西,你知道的,你知道的,记得碎片整理吗?我不认为它会碎片整理,但是感觉就像那样,之后的工作流程,是的。
对于收听的各位,你知道的,其中一个建议,NSA也这样说,这是一个非常重要的建议。我看到很多人在这方面犯错,那就是你想每周重启一次你的机器,或者每周几次,无论什么适合你,无论什么适合你的时间安排。
原因是,有一些漏洞……会危及你的设备,并驻留在内存中,你知道的,当你查看像Sailfish这样的手机安全或移动安全时。我们已经报道过这个故事了,克里斯,对手创建了一个……这是一个三阶段的攻击,加上一个有效载荷,他们首先识别出漏洞,可能是在PDF中。所以,可能是图像处理器的某种东西。
然后这将执行一个有效载荷,它基于虚拟机管理程序,然后这将尝试进行沙箱逃逸。然后他们试图获得持久性,顺便说一句,像这样的高级持续性威胁并不常见。这就是为什么这类漏洞在暗网市场上以数百万美元的价格出售的原因。现在。
五百万美元一次。
所以,如果你相信……
有人愿意花五百万美元来获取你手机上的信息,你可能是一个目标,但是……是的。
很可能不是现在,但是还有其他对手,或者没有那么复杂的对手,他们没有那么多的资源。所以他们会做的是,他们会识别出一些漏洞,可能是一个单阶段漏洞,它会利用你的手机,并驻留在内存中,可能它不会进行沙箱逃逸。
可能就像一个信息窃取程序,现在正在收集信息,当你重启你的设备时,你将关闭或消除这个进程,它正在收集信息。这意味着攻击者必须再次攻击你,对吧?所以NSA说的有道理。嘿,顺便说一句,你们应该至少每周重启一次你们的手机。
所以这是有道理的。我这样做。我一直这样做。现在。
你知道的,人们经常忘记的一点是,最后这两点,更新和电源循环,你的设备路由器,你的家庭路由器,确保它们安装了最新的补丁程序,然后每月至少循环一次电源,你知道的,只是循环电源,它会清除任何不应该在那里存在的东西。
是的,顺便说一句,对于那些路由器周围有很多东西的人,我的路由器在我的壁橱里,它总是被布料等东西包围着。它总是过热。那是我的食物,我必须找到一个更好的解决方案。
但这会降低它的等级,降低你的……有时你的互联网速度,你的连接会受到影响。所以,重启路由器,确保它首先更新,然后重启它,这非常有效。我看到之后带宽有了很大的提升。
最后一点,不要使用公共充电站。是的,我无法想象有人会这样做,因为现在大多数充电线都是数据线。你不知道你把数据线插到什么东西里。
现在,如果你只是使用电源适配器,然后数据线断开,那就没问题。但是,是的,我不在飞机上使用。你认为你没有……是的,那上面有什么?你知道的,是的,这太疯狂了。
好吧,这就是你的朋友赫克托失败的地方。我不这样做。
你如何在飞机上使用?
我在飞机上插过。我不在公共场所插,人们在那里坐在一起,对吧?但是你说得对,你知道的,你提了一个很好的观点。
是的,飞机上的设备也可能被入侵。没有人真正定期检查或评估……你是否检查了这些端口的完整性,或者上次更新或检查这些端口的时间,无论你称之为评估。
所以,从技术上讲,如果在长途旅行或国际旅行中可以使用它,他们在座位上坐了十四个小时。你不知道他们在机场做了什么而没有被发现。所以,是的,我不同意使用飞机上的端口。
好吧,我们会把NSA指南的链接放在描述中,希望你们可以检查一下自己,看看你们的做法与NSA的移动设备最佳实践建议相比如何。赫克托,这是一个有趣的节目。我很高兴和你谈论网络安全以及我们列出的一些伟大的事情。如果你们想联系我们,我想很快做一个完整的听众问答节目,因为这些是我们最喜欢的,我喜欢……我喜欢分享这些问题给你,只是让你看看你的即兴反应。我们正在寻找五星评价,在社交媒体上分享我们,把我们传播出去。让每个人都知道,让你的朋友和同事知道《黑客与联邦调查局》又回来了,我们每周都会推出一个全新的剧集,与你们谈论网络安全,回答你们的问题,偶尔也会像两个朋友一样闲聊。
对吧?这部分,就像……结束。就像,“猜猜谁回来了?”好,好。
是的,绝对的。我们喜欢你们的问题。请随时发送,让我们开始一个线程。你知道的,我们过去进行过一些很棒的对话,为了……为了威胁。我很期待。
我认为我们在上一集说过,我们有一些很棒的问题要回答。我们有一个孩子开始从事网络安全工作。他现在在……我们有一个黑客联系我们,并与我们进行持续的对话,讨论他如何入侵系统。他过去会写这些问题,从被入侵的机器上……赫克托和他进行了深入的交谈,告诉他,你知道的,他有一套很棒的技能。他把这些技能用于好事……你知道的,你可以赚同样多的钱,而不用担心有人敲门。
对吧?我不……
我认为我从未站在门的那一边。这是一个完全不同的世界。所以,赫克托,这很有趣。我期待下周和你再次交谈。
干杯,朋友。干杯,我的朋友。非常感谢收听。