TechMaker

Нещодавно відвідали конференцію Hack In The Box в Абу-Дабі, де відчитали тренінг по IoT Security.

До конференції готувались досить інтенсивно, скомбінували наявні матеріали в дводенний формат. Усе необхідне залізо для практики взяли з собою, організували google classroom та прихопили бейджі, що так давно чекали офлайн формату конференції.

Все пройшло чудово. Однак, є певна специфіка подібних тренінгів - стислий, інтенсивний формат, висока ціна, яку часто оплачує роботодавець слухачів і це не завжди сприяє правильній мотивації при проходженні практичних завдань))

З HITB співпрацюємо вже майже рік, виступали на онлайн подіях, розповідали про SSDLC для embedded, про створення наших сніферів. І от настав час очно поділитися знаннями з міжнародною спільнотою). Домовились про подальшу співпрацю і вже обговорюємо подальші конференції. Загалом їх 4 на рік - Сингапур, Малайзія, ОАЕ та Нідерланди. Лише ОАЕ цього року зробили офлайновим.

Детальніше про подію і нашу активність розписали у блозі :)
Посилання у першому коментарі.

P.S. Так, ми плануємо відновити курси, очікували вже цієї осені але затримки з імпортом обладнання та нова хвиля захворюваності посунула наші плани.

Дякуємо усім, хто штурхає нас запитаннями, реєстраціями та листами 😍

Як захищають критичну інформацію? 🧐

Про side-channel атаки ми трохи розповідали. Маючи відносно доступне обладнання (приклад на фото − ChipWhisperer) вловлюються незначні коливання електромагнітного поля та споживання струму пристроєм. Провівши певний аналіз, можливо відтворити інформацію, що обробляється.

Подібне вимірювальне обладнання має обмеження на експорт, адже може бути використане проти інтересів країни-виробника. Наприклад, обмеження на розрядність, SnR, та частоту дискретизації АЦП.

За відсутності виробництва власних, держава може дозволити використання закордонних мікроконтролерів та процесорів. Побудовані на них пристрої повинні пройти сертифікацію для роботи з критичною інформацією. Окрім перевірки на відповідність стандарту (фактично − test suites для перевірки правильності імплементації), може знадобитися і сертифікація з технічного захисту інформації від витоку каналами побічних електромагнітних випромінювань і наведень (TEMPEST).

Таку сертифікацію можуть провести у випробувальній лабораторії ДержНДІ технологій кібербезпеки.
Лабораторія акредитована в Національному агентстві з акредитації (№201086).

Звісно, вимірювальне обладнання там дещо відрізняється від того, чим користуємося ми на наших заняттях по Application Security... 😏

Область акредитації, зокрема: інструментальний контроль захищеності інформації від витоку каналами побічних електромагнітних наведень на лінії електроживлення та заземлення, на комунікації допоміжних технічних засобів і систем, засоби активного та пасивного приховування мовної інформації і т. ін. (весь перелік на сайті НАА).

Прикладом такого контролю є перевірка виконання вимог ДСТУ CWA 14167-4:2015 (п. 5.1.3.7 Часткове усунення незаконних потоків інформації (FDP_IFF.4/Crypto)

За декілька хвилин починаємо розповідь про CAN Bus Sniffer, приєднуйтесь! CommSec Track @ Hack In The Box (HITB) 18 Nov 2020 12:30 GMT+2

HITB⁺CyberWeek Virtual 2020 CommSec Track - Day 1