BEN: آنها حفره های امنیتی هستند در یک نرم افزار.
من می توانستم کاری کنم که همه انتقال ها به حالت خنثی بروند
برای یک میلیون ماشین
آنها برای سازندگانشان ناشناخته هستند .
خودت میتونی پیداش کنی،
شما می توانید کسی را استخدام کنید تا آن را پیدا کند، یا ممکن است مورد حمله قرار بگیرید.
می توان از آن برای حملات مخفیانه سوء استفاده کرد.
هدف نهایی ما حمله نیست ، بلکه دفاع است.
آنها مورد طمع هکرها و جاسوسان هستند.
ما مجموعه کاملی از قدرت ملی ایالات متحده را به ارمغان می آوریم
حمایت از منافع ایالات متحده و متحدانمان.
اما آنها را برای چه می خواهند؟
♪
آنها را روز صفر می نامند.
هکرها آنها را شکار می کنند،
اما اکثر مردم نمی دانند که چه هستند.
به زبان ساده، روز صفر یک نقص است در یک نرم افزار خاص،
یک آسیب پذیری که شرکت نرم افزار
حتی نمی داند.
این کد ممکن است در همه چیز از iPhone شما اجرا شود
به وب کم در رایانه شما
به شبکه محافظت از پنتاگون.
و اگر این حفره ها با کد جدید رفع نشدند،
هکرها می توانند اکسپلویت ها،</i > یا اژدرهای تصویری، طراحی کنند
برای حمله به نرم افزار.
چارلی میلر یکی از خیره کننده ترین روزهای صفر را کشف کرد
در تاریخ اخیر.
او یک هکر سابق NSA است
و امنیت جهانی مشهور محقق مستقر در سنت لوئیس.
در سال 2015، او و یک شریکش در واقع راهی برای از راه دور پیدا کردند
هک مدل های کرایسلر با یک سیستم کامپیوتری خاص،
و آنها می توانند این کار را از هزاران مایل دورتر انجام دهند.
و این فقط روشن کردن موسیقی یا جک کردن AC نبود ؛
آنها می توانند به طور جدی ماشینی را در جاده خراب کنند.
با چارلی تماس گرفتم و از او پرسیدم
اگر او یکی از این ماشین ها را هک می کرد در حالی که من پشت فرمان بودم.
- من بن هستم. - چارلی اوضاع چطوره؟
پس این ماشینه؟ این است؟
آره، آماده هک شدن هستی؟
(با خنده) بله!
پس دقیقا چه قسمتی از این ماشین را هدف گرفتید
که قابل هک بود؟
بنابراین این قسمت دقیقاً در اینجا، به آن واحد سر گفته می شود،
و این بخشی است که ما در واقع هک می کنیم.
این واقعیت که در اینترنت است، و اینکه ما می توانیم با آن صحبت کنیم،
و یک آسیب پذیری وجود داشت
که به ما اجازه می‌دهد تا در واقع کدی را که روی آن اجرا می‌شود دریافت کنیم.
ما می توانستیم این کار را از راه دور انجام دهیم، اما به کرایسلر در مورد آن گفتیم
و آنها آن را تعمیر کردند، بنابراین اکنون دیگر نمی توانید آن را از راه دور انجام دهید.
چقدر طول کشید تا آن را وصله کنند؟
خوب، اول به آنها در مورد آن گفتم،
و به مدت نه ماه روی آن کار می کردند.
و بعد یک بار آن را عمومی کردیم،
سپس در عرض یک هفته آن را تعمیر کردند .
همینطور بود... یک بار همه واقعاً ناراحت بودند،
آنها می توانند آن را خیلی سریع تعمیر کنند.
بنابراین اکنون از نظر فیزیکی به یونیت سر متصل هستم .
خوب، پس من می توانم شروع کنم به نشان دادن برخی چیزها در اینجا.
چه چیزی بود... گمان می‌کنم، چیز خطرناک‌تر چه بود
آیا می توانید با این هک خاص با ماشین انجام دهید ؟
احتمالاً ترسناک ترین کاری که می توانیم انجام دهیم این است که به خود بیایی
یک توقف، می توانیم به جایی برسیم که ترمزها از کار می افتند،
و سپس دوباره شروع به رفتن خواهید کرد .
- پس ما متوقف شدیم... - آره.
اما حالا ما متوقف نشده ایم.
(دور موتور)
وای من اصلا از این صدا خوشم نمیاد !
آره، نه
بنابراین پدال ترمز پایین نمی آید.
(با خنده) جیز!
خوب، پس می خواهید فرمان و چیزهای دیگر را ببینید؟
آره، بیایید کمی فرمان ببینیم.
خوب، پس به جایی برسیم که بتوانیم به عقب برگردیم.
بنابراین برعکس، می توانید ...
اوه، آره
هر چقدر که بخواهم می توانم فرمان را بچرخانم .
- بدون دست. - بله
(با خنده)
که امن است.
نه واقعا. (با خنده)
آیا تا به حال سناریویی وجود دارد که فکر کنید یک هکر بتواند به آن دست یابد؟
دسترسی به یک آسیب پذیری در خودرویی که به آن متصل است
اینترنت که یک میلیون ماشین را می توان خاموش کرد؟
من می توانستم این کار را انجام دهم.
- همینطور؟ - آره
حتی اگر در بزرگراه رانندگی می کردند ؟
من می توانستم همه آنها را بسازم ... همه انتقال ها را
برای یک میلیون خودرو به سمت خنثی بروید .
بنابراین، از جمله اتومبیل هایی که می روند، می دانید،
100 مایل در ساعت؟
آره.
می دانید، واضح است که هدف من این نبود.
(با خنده) درست است.
قصد من این بود که فقط نشان دهم که ...
- می تواند رخ دهد. - درست.
شرکت های خودروسازی در این زمینه بسیار جدید هستند،
و اکثر شرکت های خودروسازی که حتی نمی دانید با چه کسی تماس بگیرید
به آنها بگویید که آسیب پذیری پیدا کرده اید.
اما چیز دیوانه کننده این است که</i > حتی زمانی که محققان می گویند
یک شرکت خودروسازی در مورد امنیت حفره ای در نرم افزار خود دارند، آنها
اغلب به خاطر کشف در وهله اول مورد تحقیر قرار می گیرد.
وقتی مردم از افرادی مثل من که پیدا می کنند شکایت می کنند
آسیب پذیری، آنها متوجه نمی شوند که ما قرار نمی دهیم
آسیب‌پذیری‌های موجود در محصول، از قبل وجود دارند.
گزارش اشکالات چیزی است که آنها را برطرف می کند،
و این چیز خوبی است.
آیا به نظر شما مضحک است که شرکت ها برای آنها پولی پرداخت نکنند؟
مثل اینکه کرایسلر چیزی به شما نداد، درست است؟
نه، من واقعاً از آنها انتظار نداشتم.
من فکر می کنم این مضحک تر است زمانی که شرکت های بزرگ که دارند
برای مدت طولانی این کار را انجام می دهند و آنها هم این کار را کرده اند
یک میلیارد دلار در بانک دارند و آنها امنیت خود را مطرح می کنند،
این برای من چندان منطقی نیست
مثل اینکه من سال ها مشاور بودم و شرکت ها این کار را می کردند
به من پول بده تا وارد شوم و برای آنها آسیب پذیری پیدا کنم،
و سخت است، درست است؟
اگر سخت نبود پیدا می کردند
خود همه آسیب پذیری ها درست است؟
احساس می کنم واقعا سخت کار کردم.
شاید باید چیزی برای آن بگیرم .
چارلی میلر برای استثمارش یک سکه نگرفت
اما یک سال بعد کرایسلر سیاست خود را تغییر داد.
این اولین شرکت بزرگ خودرویی بود که معرفی کرد
یک برنامه جایزه برای هکرها که نقص هایی را در نرم افزار آن پیدا می کنند.
و این فقط کرایسلرهای جهان نیستند
کسانی که حاضرند برای آنها پول بپردازند.
Zero-days می تواند ارزش زیادی داشته باشد برای یک فروشنده نرم افزار
و شرکت های امنیتی که می خواهند حفره ها را اصلاح کنند.
در همان زمان، می توان آنها را از طریق کارگزاران خصوصی فروخت
برای بیش از نیم میلیون دلار به آژانس های جاسوسی یا دیگر
اپراتورهای مخفی که از آنها استفاده می کنند برای نظارت یا خرابکاری.
- حالت چطوره؟ - خوب
حرفه من به عنوان یک تست کننده نفوذ حرفه ای،
با این مهارت ها، بدیهی است که می توانستم بانک ها را سرقت کنم
و گرفتن پول، بر خلاف استخدام شدن توسط بانک ها
تا ببینیم چگونه می توان آنها را دزدید، درست است؟
کیتی موسوریس یک محقق امنیتی است که ایجاد کرده است
اولین باگ مایکروسافت برنامه جایزه در سال 2013.
او در سیاتل مستقر است، اما من او را در ونکوور ملاقات کردم
جایی که او در کنفرانس امنیتی شرکت می کرد .
مردم معمولا دوست دارند آنها را بر اساس بازار سفید تعریف کنند
و بازار سیاه، اما بازار سیاه در واقع دلالت بر آن دارد
که تجارت غیرقانونی است.
و در حال حاضر، تجارت صفر روز یا اکسپلویت غیرقانونی نیست .
بنابراین من معمولا در مورد آنها صحبت می کنم
بازار دفاع و بازار حمله
و آیا فکر می‌کنید که پاداش‌های باگ جواب می‌دهند؟
آیا فکر می کنید هکرها وقتی این چیزها را پیدا می کنند،
آنها باید به شرکت افشا کنند؟
خوب، هدف من از ایجاد برنامه‌های پاداش باگ است
در واقع در مورد دادن فرصت های بیشتر به هکرها است
نه اینکه فقط آن را به دفاع بسپاریم،
بلکه در عین حال پول در بیاورید.
بنابراین آنها مجبور به انتخاب نیستند ،
"آیا کار درستی انجام می دهم یا پول در می آورم؟"
آنها می توانند کار درست را انجام دهند و پول در بیاورند.
همه نرم افزارها دارای آسیب پذیری هستند.
این فقط یک واقعیت است.
سه راه وجود دارد که می توانید در مورد آن بیاموزید.
شما می توانید آن را خودتان پیدا کنید، می توانید کسی را استخدام کنید تا آن را پیدا کند -
یا اگر کسی آن را پیدا کرد، جایزه باگ بپردازید -
یا ممکن است مورد حمله قرار بگیرید، نقطه.
BEN: در کنفرانس Can Sec West در ونکوور،
هکرها دعوت می شوند تا راه های جدیدی برای نفوذ پیدا کنند
نرم افزار پرکاربرد، مانند Safari و Adobe Flash.
اینجا در مسابقه ای که به نام</i > Pwn2Own شناخته می شود، تیم ها به مصاف هم می روند
برای نزدیک به نیم میلیون دلار پول جایزه.
برخی از تیم ها از ماه ها قبل کار کرده اند ،
توسعه و آزمایش بهره برداری های آنها.
نقص هایی که آنها پیدا می کنند برای فروشندگان افشا می شود
تا بتوان آنها را وصله کرد.
وایتی، من بن هستم.
من با یک داوطلب به نام Whitey ملاقات کردم
چه کسی حاضر شد به من نشان دهد.
Pwn2Own. (با خنده)
(پچ پچ کردن)
پس یکی از آنها همین الان پایین می آید، همین جا؟
بله، بله، پس این است... در واقع الان شروع شده است.
من باید این را تماشا کنم
(پچ پچ کردن)
گوینده: ما Tencent Team Security Team Sniper داریم .
این KeenLab و PC Manager است.
هدف Adobe Flash با سیستم است.
♪
این افراد در تلاشند وارد کامپیوتر شوند
با استفاده از بهره برداری روز صفر خود برای Adobe Flash.
(تشویق و تمجید)
(خنده)
واقعا... خیلی عجیب بود!
(با خنده)
وایتی: می‌دانی، این شبیه طراحی یک برنامه است،
و سپس گرفتن آن یک شات برای اجرای آن
و آن را به خوبی اجرا کنند، و آنها این کار را انجام دادند.
و می دانید، ممکن است ضد آب و هوا به نظر برسد.
قطعاً آن چیزی که در یک فیلم می بینید هک نیست ،
مسائل مثل این. - وای نه.
اما این است ... این چیز واقعی است.
و با این حال ، همانطور که شما گفتید، کاری که آنها انجام دادند، می تواند
پایان دادن به یک شرکت؟
اوه، این می تواند به یک شرکت پایان دهد،
می‌دانید که می‌تواند در سراسر اینترنت ویران کند.
Tencent Team Security Team Sniper در نهایت اعلام شد
استادان Pwn.
محققان مستقر در شانگهای که برای بزرگترین چین کار می کنند
شرکت اینترنتی برنده این ژاکت سیگاری مسخره شد.
آنها همچنین بیش از 142000 دلار جایزه دریافت کردند.
بعد از یک مهمانی هکری فوق العاده اهلی با آنها ملاقات کردم .
(در حال پخش موسیقی)
پس Pwn2Own را بردید.
چه حسی دارد؟
- خیلی خوب. - آره
- حالا راحت. -حالا راحت شدی؟
قبل از این آرامش نداشتی ؟
روز قبل، نه، خیلی عصبی.
آیا می توانستی آن روزهای صفر را به دیگری بفروشی؟
و پول بیشتری گرفتی؟
و اگر چنین است، چرا این کار را نکردید؟
بنابراین در جریان Can Sec West یک نفر واقعاً به شما نزدیک شد
برای پرداخت برخی از سوء استفاده هایی که داشتید؟
آنها کی بودن؟
(با خنده)
و شما این کار را نکردید؟ نمیخواستی انجامش بدی؟
حالا اونایی که پیدا کردی
روزهای صفری که پیدا کردید، چه تاثیری دارند؟
برای بقیه سال، اگر روزهای صفر را پیدا کنید،
با آنها چه کار می کنی؟
(با خنده)
و شما آن را گزارش می دهید؟
بن: من برای کنفرانس امنیت کامپیوتر در ونکوور هستم،
اما چیزی که من واقعاً دنبال آن هستم اطلاعات بیشتری دارد
در بازارهای شبه روز صفر.
مردم اینجا به من می گویند که من باید با امرسون تان صحبت کنم.
او برای یک پیمانکار بزرگ دولتی کار کرده است،
اما او همچنین سال‌هاست که بخشی از جامعه هک بوده است .
تان یک ارباب تاریکی است که خود را توصیف می کند در حال بهبودی است،
حداقل طبق نمایه لینکدین او.
TAN: شنیدم که شما چند سوال دارید.
می خواهم او به من نشان دهد چه بازاری دارد
برای این سوء استفاده ها واقعاً شبیه است.
بنابراین آیا می توانید در بازار سیاه اکسپلویت بخرید ؟
آنلاین، وب تاریک؟
خب بستگی داره منظورت چی باشه
بنابراین اکسپلویت ها، همانطور که می دانید،
در چند طعم مختلف می آیند
مواردی هستند که قبلاً پچ شده اند،
و سپس روزهای O وجود دارد.
شما نمی خرید -- مزاحم ...
اگر یک جنایتکار بودید، زحمت خرید O-days را نداشتید.
نه؟
A: آنها بسیار، بسیار گران هستند.
آزمایش آنها هزینه زیادی دارد
تا آنها را قابل اعتماد کند.
اگر جنایتکار هستید، فقط چیزی را می خواهید که کار کند،
و با کمترین هزینه برای حداکثر بازده.
بیایید ببینیم، چه شکلی است؟
بیایید نگاهی به یک انجمن واقعی داشته باشیم.
این بدترین طراحی وب در جهان است .
این واقعاً ارزان و جذاب است و آنها اهمیتی نمی دهند.
بنابراین می توانید به آنجا بروید، یک اکسپلویت خریداری می کنید.
معمولاً این یک اکسپلویت است که وصله نشده است؟
نه وصله شده
- یا بوده است؟ - وصله شده است.
چیزی که باید به خاطر بسپارید این است که تعداد زیادی از مردم
در سراسر جهان سیستم های خود را وصله نمی کنند،
نرم افزار آنها را وصله نکنید.
به خصوص با توجه به این که حجم زیادی از نرم افزار موجود است
قانونی خریداری نشده است
همه چیز... همه چیز دزدیده شده است، همه چیز دزدیده شده است.
این چیزها هرگز به روز نمی شوند.
بنابراین در این راه، شما هنوز یک سطح حمله بزرگ دارید؟
بله، هزاران -- میلیون ها، میلیون ها و میلیون ها
و میلیون ها و میلیون ها و میلیون ها نفر.
منظورم این است که ... این فوق العاده است.
این یک گوشی اندرویدی است، گوشی اندروید من است.
مردم تمام اطلاعات شخصی و چیزهای خود را در آنجا قرار می دهند،
می‌دانی، همه چیز لازم است تا بروی و هویت آنها را بدزدی.
- مممم - عالی است.
اما از نظر روزهای صفر،
هیچ سایتی وجود ندارد که بتوانید روز صفر بخرید؟
منظورم این است که من مطمئن هستم که آنها وجود دارند، اما برای اینکه کاملاً با شما صادق باشم،
اگر بودی... اگر محقق بودی و واقعاً می خواستی
دلار بالا، شما با این بازارهای آزاد زحمت نمی کشید .
می رفتی و با یک دلال صحبت می کردی.
منظورم این است که همه چیز این است که این جامعه کوچک است.
همه همدیگر را می شناسند.
بنابراین دلالان جاسوسان، جنایتکاران و محققان را می شناسند.
بله، و محققین.
و سپس بسته به اینکه در کجای دنیا هستید،
می دانید، این جامعه ای است که شما به آن می فروشید.
خیلی خیلی عجیب خواهد بود برای مثال، می دانید،
مانند یک محقق روسی که سعی کند به یک دلال بفروشد
کیست... نمی دانم، برای آمریکایی ها کار می کند.
می دانید، در جایی مانند چین یا روسیه،
فروش به مخالفان باعث بازدید شما می شود
از برخی مردان با کت های چرمی بسیار نامناسب،
شاید با شلنگ یا چوب بیسبال.
درست.
آیا تا به حال با یک سازمان اطلاعاتی سروکار داشته اید ؟
ما این سوال را به یک طرف می گوییم .
نه میتونم تایید کنم نه تکذیب
که Beltway برای پاسخی غیر از خیر صحبت می کند.
بنابراین نکته عجیب اینجاست ،
این است که تقریباً همه آن را در مقطعی انجام داده اند.
اگر تا به حال با کسی برخورد کردید که بگوید سفیدتر از سفیدپوست است،
آنها دروغ می گویند
یکی از دلایل که محققان هستند
خیلی راحت وسوسه می شوید که بفروشید روز صفر به آژانس های جاسوسی
این است که دولت ها حاضرند بهای زیادی بپردازند
فقط برای اینکه بتوانند اهداف خاص را هک کنند .
پیدا کردن یک روز صفر می‌تواند همچنین سود زیادی برای شما به همراه داشته باشد
از شرکت های نرم افزار که آنها را به منظور خرید می خرند
سوراخ ها را در محصولات خود وصله کنید.
اپل اخیراً اعلام کرد جوایز باگ را پرداخت خواهد کرد
که بین 25000 دلار تا 200000 دلار بود،
بسته به آسیب پذیری.
برخی از شکارچیان اشکال این کار را انجام می دهند به عنوان یک کنسرت جانبی، اما تعداد کمی
می تواند در واقع با یافتن روزهای صفر درآمد کسب کند .
مارک لیچفیلد یک شکارچی حرفه ای اشکال است
چه کسی می گوید که او صدها هزار دلار درآمد دارد
در پاداش های اشکال در چند سال گذشته.
من به سمت جامعه دردار رفتم
خارج از لاس وگاس جایی که او زندگی و کار می کند.
ای وای.
وای.
او آن رقصنده و زندگی اجتماعی سرپوشیده را دارد.
سلام.
نگهبان: حالت چطوره؟ یه دقیقه وایستا.
مشکلی نیست
می گویند نه، انجمن می گوید نه دوربین ندارد.
شما نمی توانید به آنجا برگردید مگر اینکه آن را با آنها پاک کنید،
و من اینطور فکر نمی کنم.
فقط باید با یک چرخ دستی گلف حاضر می شدیم.
آنها فکر می کنند ما چه کار می کنیم؟
آیا به یاد دارید زمانی که کاخ سفید و FBI
شلیک کردن راحت تر بود؟
ما موفق نشدیم به محیط نفوذ کنیم
از انجمن مارک لیچفیلد ، بنابراین ما مارک را ملاقات کردیم
و همسرش، کارلی لین، در یک رستوران نزدیک.
هی مارک
- سلام رفیق، حالت چطوره؟ - اوضاع چطوره؟
از ملاقات شما خوشبختم. متاسفم برای این همه دردسر
هی مشکلی نیست سفر چطور بود؟
- من بن هستم. خوب بود. - من کارلی هستم، از آشنایی با شما خوشحالم.
از ملاقات شما خوشبختم. آره خوب بود
من نمی دانستم که آنقدر امن خواهد بود.
من حدس می‌زنم که این یک جامعه دردار است.
(با خنده)
آره، این بود... کل را آوردند، مثلاً،
تیپ گاری گلف روی ما.
بله، آنها در واقع به خانه می آیند.
من تا نیمه انتظار داشتم که آنها مسلح باشند،
اما من فکر نمی کنم آنها بودند.
(با خنده)
بنابراین آیا کسب درآمد از یافتن روزهای صفر سخت است ؟
به نظر می رسد شما یک سبک زندگی نسبتاً خوبی در اینجا دارید .
آره، من خوبم
(با خنده)
بیشترین حقوقی که تا به حال برای یک روز صفر دریافت کرده اید چه بوده است؟
یکی از برنامه های پاداش باگ 15000 دلار است.
فقط برای یکی؟
فقط برای یکی، آره
خوب، پس بیایید بگوییم که دارید کارتان را در خانه انجام می دهید،
و شما یک روز صفر را پیدا می کنید
در یک نرم افزار پایه کاربر به خصوص بزرگ.
باشه.
با آن چه می کنید؟ گزارشش میکنی؟
سوال جالبیه
اولین واکنش این خواهد بود که بله، آن را گزارش دهید، کاملاً.
اما قسمت دوم این با همه چیز است
این در حال حاضر در جریان است، دیدگاه شخصی من در این مورد ...
برخی از ایالت ها می توانند از این باگ بهتر استفاده کنند
نه اینکه فقط آن را به فروشنده بدهید.
پس منظور شما از آنچه که این روزها در حال وقوع است چیست؟
داعش، می‌دانی، کره شمالی، خیلی مزخرف است.
اگر فرصتی پیش می آمد که می توانستم به من بدهم
آسیب پذیری روز صفر در برابر ...
(آه میکشد)
یک آژانس، هر کسی، کسی که بتواند از این استفاده کند،
پس من قطعا آن را به آنها می دهم و آن را گزارش نمی کنم.
آیا قبلاً این کار را انجام داده اید؟
آیا تا به حال یک روز صفر را به یک دولت فروخته اید ؟
خیر
اگر یک روز صفر به یک دولت بفروشید ، به من بگویید؟
خیر
(با خنده)
یک چهره پوکر خوب برای پسری که در لاس وگاس زندگی می کند؟
من پوکر بازی نمی کنم
(با خنده)
BEN: نقص های اصلاح نشده در نرم افزار قابل استفاده است
برای هک کردن تقریباً هر چیزی که روی کد اجرا می شود،
از گوشی هوشمند به ماشین.
آن معایب، که به عنوان روزهای صفر شناخته می شوند،
به شرکت ها و دولت ها خرید و فروش می شوند.
ایالات متحده گاهی اوقات از سوء استفاده های روز صفر برای اهداف حمله استفاده می کند،
اما دستورالعمل‌های رسمی نیز در مورد اینکه چه زمانی هستند وجود دارد
قرار است به فروشنده نرم افزار افشا شود.
قوانین تلاشی است برای توازن بین منافع عمومی
در حفاظت از ایمنی اینترنت و منافع دولت
در کسب هوش.
بنابراین مطمئناً می توانید تصور کنید که اگر ما کشف کنیم که ...
و در مورد آسیب پذیری، مثلاً، یاد گرفتیم
یک نرم افزار که یا به طور گسترده مورد استفاده قرار می گرفت
در داخل دولت ایالات متحده، متحدان ما، یا در داخل
زیرساخت های حیاتی ما، که ممکن است به نفع ما باشد
در واقع آن را خریداری کنیم تا بتوانیم از آن مطمئن شویم
یک پچ برای آن وجود داشت.
من به واشنگتن رفتم تا با مایکل دانیل ملاقات کنم.
او مسئول امنیت سایبری است هماهنگ کننده
در دولت اوباما.
و مثلاً NSA چه زمانی روی یک آسیب‌پذیری قرار می‌گیرد؟
اگر به نوعی به آن معیارهای افشا نگاه کنید
و عکس آن را تصور کنید، درست است؟
این که شما شرایطی دارید که ما یک آسیب پذیری داریم
که در مجموعه بسیار محدودی از نرم افزار یا سخت افزار است
که خیلی زیاد استفاده نمی شود، ممکن است
اغلب توسط دشمنان ما به کار گرفته می شود
دسترسی منحصربه‌فردی را به ما ارائه دهید که به هیچ وجه نمی‌توانیم به آن دسترسی پیدا کنیم،
اینها چیزهایی هستند که ما آنها را حفظ می کنیم.
مایکل دانیل نمی خواهد در مورد نوع بیشتر توضیح دهد
روزهای صفر دولت یا تعداد را نگه می دارد.
چیزی که می توانم بگویم این است که، می دانید، ما به آن می رویم
مجموعه کاملی از قدرت ملی ایالات متحده را تحمل کند
برای حفاظت از منافع ایالات متحده و متحدانمان.
اما همه راحت نیستند آن را کنار بگذارند
به دولت ایالات متحده که قضاوت کند با روز صفر چه کاری انجام دهد.
کریس سوقویان یک حریم خصوصی است</i > فعال که روز صفر را ردیابی می کند
بازار، و او سال هاست که زنگ خطر را به صدا در می آورد.
چرا اینقدر از شرکت هایی که در حال فروش هستند انتقاد می کنید
روز صفر به دولت آمریکا یا هر دولتی؟
می دانید، من واقعاً احساس می کنم که باید یک بحث عمومی وجود داشته باشد
پیرامون نقش دولت در بازار روز صفر.
پنج یا 10 سال است که واقعاً از این موضوع آزارم می دهد
گفتگویی در واشنگتن دی سی انجام شده است
در مورد امنیت سایبری، اما این یک قطعه گم شده بود.
و این یک قطعه ضروری است.
سازمان های دولتی آمریکا چه کسانی را هدف قرار می دهند؟
وقتی از اکسپلویت های روز صفر استفاده می کنند ؟
میدونی واقعا بستگی داره
بنابراین برای NSA، آن ها می توانند رهبران خارجی باشند.
این می تواند شرکت های خارجی باشند که این اطلاعات را دارند
دولت ایالات متحده معتقد است که منافع امنیت ملی است.
ممکن است تروریست باشند.
از طرف مجری قانون، FBI تلاش کرده است افراد را هک کند
کسانی که پورن کودک را دانلود یا به اشتراک گذاشته اند،
افرادی که مدارس را تهدید به بمب گذاری کرده اند .
این واقعاً دامنه وحشتناک ترین و جدی ترین جنایت را در بر می گیرد
به چیزهایی که، می دانید، نوعی نوجوانان هستند
تماس های شوخی در خانه
چون حدس می‌زنم موضوع همین است.
بسیار آسان است که نسبت به آن انتقاد کنید زیرا
در ظاهر بسیار بدخواهانه به نظر می رسد، اما بعد
ممکن است مواردی وجود داشته باشد که از روز صفر استفاده شود
برای هک کردن کامپیوتر یک تروریست
این استدلال کلاسیک است، درست است؟
من کمتر متمرکز هستم و کمتر به آن علاقه دارم
آنها از آن علیه چه کسی استفاده می کنند و بیشتر در مورد چه چیزی هستند
عوارض جانبی اکتساب دولت
و انباشت انبار و استفاده از آن آسیب پذیری یا آن اکسپلویت.
(آژیر به صدا در می آید)
چند سال پیش، تظاهرات در فرگوسن اتفاق افتاد،
و آمریکایی ها با روزنامه های صبح خود بیدار می شوند
نمایش عکس های نفربر زرهی،
پلیس با استتار، مسلسل در دست،
و متوجه شدند که ناگهان اجرای قانون آنها
نظامی شده است.
آنها باید اثر کاهشی را ببینند،
جایی که فناوری هایی که برای ارتش طراحی شده اند
و جامعه اطلاعاتی در نهایت اول از بین می رود
به فدرال رزرو، سپس ایالت و سازمان های مجری قانون محلی.
و این اتفاق در مورد نفربرهای زرهی رخ داده است،
این با گاز اشک آور اتفاق افتاده است، با تیم های SWAT اتفاق افتاده است
و پهپادها و پلاک خوان ها،
و تقریباً به طور قطع با روزهای صفر اتفاق خواهد افتاد.
و وقتی آن ابزارها را در اختیار افرادی قرار می دهید که قرار است باشند
آنها را بدون آموزش زیاد و بدون زیاد کار می کند
نظارت، می دانید، ما شاهد سوء استفاده خواهیم بود.
ما شاهد جاسوسی افسران پلیس از همسران سابق خود خواهیم بود ،
یا همسایه همسایه شان که آنها را عصبانی می کند.
من فکر نمی کنم که آمریکا آمادگی پلیس های محلی را داشته باشد
هک کردن کامپیوترها، اما ما قطعا در راه هستیم.
اما این فقط پلیس محلی نیست.
آژانس های جاسوسی و هکرها همه جا آنها را می خواهند،
و آنها فقط برای نظارت نیستند.
می توان آنها را مسلح کرد برای تصاحب
هر شی فیزیکی در حال اجرا روی کد،
از یک تلفن همراه به یک SUV به یک نیروگاه.
و این بدان معنی است که اگر روزهای صفر به سقوط کنند
دست اشتباه هستند، آنها می توانند تهدیدی واقعی برای حریم خصوصی شما باشند،
آزادی فردی، و حتی امنیت شخصی.
اما همانطور که هست، اتفاق نظر واقعی وجود ندارد
دستان چه کسی هستند دستهای اشتباهی هستند.