Avi Rubin: All your devices can be hacked

Translator: Joseph Geni Reviewer: Morton Bast

Μετάφραση: Chryssa Takahashi Επιμέλεια: Stefanos Reppas

I'm a computer science professor,

Είμαι καθηγητής επιστήμης των υπολογιστών

and my area of expertise is

και το γνωστικό μου αντικείμενο είναι

computer and information security.

η ασφάλεια υπολογιστών και πληροφοριών.

When I was in graduate school,

Όταν ήμουν φοιτητής,

I had the opportunity to overhear my grandmother

είχα την ευκαιρία να ακούσω τυχαία τη γιαγιά μου

describing to one of her fellow senior citizens

να περιγράφει σε έναν ηλικιωμένο φίλο της

what I did for a living.

τι δουλειά έκανα.

Apparently, I was in charge of making sure that

Προφανώς, ήμουν υπεύθυνος ώστε

no one stole the computers from the university. (Laughter)

κανείς να μην κλέψει τους υπολογιστές από το πανεπιστήμιο. (Γέλια)

And, you know, that's a perfectly reasonable thing

Και, ξέρετε, αυτό είναι κάτι απολύτως λογικό να σκεφτεί,

for her to think, because I told her I was working

επειδή της είπα ότι δούλευα

in computer security,

στην ασφάλεια υπολογιστών,

and it was interesting to get her perspective.

και ήταν ενδιαφέρον να δω την προοπτική της.

But that's not the most ridiculous thing I've ever heard

Αλλά αυτό δεν είναι το πιο γελοίο πράγμα που έχω ακούσει ποτέ

anyone say about my work.

να αναφέρει κάποιος για τη δουλειά μου.

The most ridiculous thing I ever heard is,

Το πιο γελοίο πράγμα που άκουσα ποτέ,

I was at a dinner party, and a woman heard

ήμουν σε ένα πάρτι, και μια γυναίκα άκουσε

that I work in computer security,

ότι δουλεύω στην ασφάλεια υπολογιστών,

and she asked me if -- she said her computer had been

και με ρώτησε αν -- είπε ότι ο υπολογιστής της

infected by a virus, and she was very concerned that she

είχε μολυνθεί από έναν ιό και ανησυχούσε πολύ ότι

might get sick from it, that she could get this virus. (Laughter)

μπορεί να αρρωστήσει από αυτό, ότι θα μπορούσε να κολλήσει αυτόν τον ιό. (Γέλια)

And I'm not a doctor, but I reassured her

Δεν είμαι γιατρός, αλλά την καθησύχασα

that it was very, very unlikely that this would happen,

ότι ήταν εξαιρετικά απίθανο να συμβεί αυτό,

but if she felt more comfortable, she could be free to use

αλλά αν ένιωθε πιο άνετα, θα μπορούσε να χρησιμοποιεί

latex gloves when she was on the computer,

γάντια λατέξ, όταν ήταν στον υπολογιστή,

and there would be no harm whatsoever in that.

και δεν θα υπήρχε κανένα απολύτως πρόβλημα σε αυτό.

I'm going to get back to this notion of being able to get

Εγώ θα επιστρέψω σε αυτή την ιδέα του να μπορείς να κολλήσεις

a virus from your computer, in a serious way.

έναν ιό από τον υπολογιστή σου, με σοβαρό τρόπο.

What I'm going to talk to you about today

Σήμερα θα σας μιλήσω

are some hacks, some real world cyberattacks that people

για μερικά χακαρίσματα, μερικές πραγματικές κυβερνοεπιθέσεις

in my community, the academic research community,

που έκαναν άνθρωποι στην κοινότητά μου,

have performed, which I don't think

την ακαδημαϊκή ερευνητική κοινότητα, το οποίο δεν νομίζω

most people know about,

ότι γνωρίζουν οι περισσότεροι άνθρωποι,

and I think they're very interesting and scary,

και νομίζω ότι είναι πολύ ενδιαφέρον και τρομακτικό,

and this talk is kind of a greatest hits

και αυτή η συζήτηση είναι σα να λέμε τις καλύτερες επιτυχίες

of the academic security community's hacks.

των χάκερς από την ακαδημαϊκή κοινότητα ασφάλειας.

None of the work is my work. It's all work

Κανένα από αυτά δεν τα έχω κάνει εγώ. Είναι όλα δουλειά

that my colleagues have done, and I actually asked them

που έχουν κάνει οι συνάδελφοί μου, και πράγματι τους ζήτησα

for their slides and incorporated them into this talk.

τις διαφάνειες και τις ενσωμάτωσα σε αυτή τη διάλεξη.

So the first one I'm going to talk about

Έτσι, το πρώτο πράγμα για το οποίο θα μιλήσω

are implanted medical devices.

είναι οι εμφυτευμένες ιατρικές συσκευές.

Now medical devices have come a long way technologically.

Στην εποχή μας οι ιατρικές συσκευές έχουν υψηλή τεχνολογική εξέλιξη.

You can see in 1926 the first pacemaker was invented.

Μπορείτε να δείτε πως το 1926 εφευρέθηκε ο πρώτος βηματοδότης.

1960, the first internal pacemaker was implanted,

Το 1960, εμφυτεύθηκε ο πρώτος εσωτερικός βηματοδότης,

hopefully a little smaller than that one that you see there,

ελπίζω να είναι λίγο μικρότερος από αυτόν που βλέπετε εκεί,

and the technology has continued to move forward.

και η τεχνολογία συνεχίζει να εξελίσσεται.

In 2006, we hit an important milestone from the perspective

Το 2006, φτάσαμε σε ένα σημαντικό ορόσημο από τη σκοπιά

of computer security.

της ασφάλειας των υπολογιστών.

And why do I say that?

Και γιατί το λέω αυτό;

Because that's when implanted devices inside of people

Επειδή τότε οι εμφυτευόμενες συσκευές μέσα στους ανθρώπους

started to have networking capabilities.

άρχισαν να έχουν δυνατότητες δικτύωσης.

One thing that brings us close to home is we look

Ένα πράγμα που αποτελεί προσωπικό ενδιαφέρον για εμάς είναι η παρατήρηση

at Dick Cheney's device, he had a device that

της συσκευής του Ντικ Τσένι, είχε μια συσκευή που

pumped blood from an aorta to another part of the heart,

αντλούσε αίμα από την αορτή σε ένα άλλο τμήμα της καρδιάς,

and as you can see at the bottom there,

και όπως μπορείτε να δείτε, εκεί, στο κάτω μέρος,

it was controlled by a computer controller,

ελεγχόταν από έναν υπολογιστή,

and if you ever thought that software liability

και αν σκεφτείτε ποτέ ότι η ευθύνη του λογισμικού

was very important, get one of these inside of you.

ήταν πολύ σημαντική, τοποθετήστε ένα από αυτά μέσα σας.

Now what a research team did was they got their hands

Τώρα αυτό που έκανε μια ερευνητική ομάδα ήταν ότι πήραν

on what's called an ICD.

αυτό που ονομάζεται ICD (Εμφυτεύσιμος Ρυθμιστής Απινιδωτής).

This is a defibrillator, and this is a device

Είναι ένας απινιδωτής, και αυτός είναι μια συσκευή

that goes into a person to control their heart rhythm,

που ενσωματώνεται σε ένα άτομο για να ελέγχει τον καρδιακό του ρυθμό,

and these have saved many lives.

και αυτοί έχουν σώσει πολλές ζωές.

Well, in order to not have to open up the person

Τώρα για να μην χρειαστεί να ανοίξετε τον άνθρωπο

every time you want to reprogram their device

κάθε φορά που θέλετε να επαναπρογραμματίσετε τη συσκευή του

or do some diagnostics on it, they made the thing be able

ή να κάνετε κάποιες διαγνωστικές δοκιμές, το μετέτρεψαν ώστε να μπορεί

to communicate wirelessly, and what this research team did

να επικοινωνεί ασύρματα, και αυτό που έκανε αυτή η ερευνητική ομάδα

is they reverse engineered the wireless protocol,

είναι ότι αποσυμπίλεσαν το ασύρματο πρωτόκολλο,

and they built the device you see pictured here,

και κατασκεύασαν τη συσκευή που βλέπετε εδώ στην εικόνα,

with a little antenna, that could talk the protocol

με μια μικρή κεραία, που θα μπορούσε να μιλήσει το πρωτόκολλο

to the device, and thus control it.

στη συσκευή, και συνεπώς να την ελέγξει.

In order to make their experience real -- they were unable

Προκειμένου να κάνουν την εμπειρία τους αληθινή -- δεν μπόρεσαν

to find any volunteers, and so they went

να βρουν εθελοντές, και έτσι πήγαν

and they got some ground beef and some bacon

και πήραν λίγο μοσχαρίσιο κιμά και λίγο μπέικον

and they wrapped it all up to about the size

και τα τύλιξαν μέχρι το μέγεθος περίπου

of a human being's area where the device would go,

ενός ανθρώπινου μέλους όπου θα μπορεί να μπει η συσκευή,

and they stuck the device inside it

και την έχωσαν στο εσωτερικό του

to perform their experiment somewhat realistically.

για να κάνουν κάπως ρεαλιστικά το πείραμα τους.

They launched many, many successful attacks.

Έκαναν πολλές, πολλές επιτυχείς επιθέσεις.

One that I'll highlight here is changing the patient's name.

Αυτή που θα επισημάνω εδώ αλλάζει το όνομα του ασθενούς.

I don't know why you would want to do that,

Δεν ξέρω γιατί θα θέλατε να το κάνετε αυτό,

but I sure wouldn't want that done to me.

αλλά σίγουρα δεν θα ήθελα να μου το κάνουν.

And they were able to change therapies,

Και μπόρεσαν να αλλάξουν θεραπείες,

including disabling the device -- and this is with a real,

καθώς και να απενεργοποιήσουν τη συσκευή -- και αυτό είναι με μια πραγματική,

commercial, off-the-shelf device --

εμπορική, ετοιματζίδικη συσκευή --

simply by performing reverse engineering and sending

απλά κάνωντας αποσυμπίληση και στέλνοντας της

wireless signals to it.

ασύρματα μηνύματα.

There was a piece on NPR that some of these ICDs

Μια εκπομπή στο ραδιόφωνο έλεγε ότι σε ορισμένα από αυτά τα ICDs

could actually have their performance disrupted

θα μπορούσε να διαταραχθεί η απόδοση τους

simply by holding a pair of headphones onto them.

κρατώντας απλά ένα ζευγάρι ακουστικών από πάνω τους.

Now, wireless and the Internet

Τώρα, οι ασύρματες συνδέσεις και το Διαδίκτυο

can improve health care greatly.

μπορούν να βελτιώσουν σε μεγάλο βαθμό την υγειονομική περίθαλψη.

There's several examples up on the screen

Υπάρχουν αρκετά παραδείγματα στην οθόνη

of situations where doctors are looking to implant devices

με καταστάσεις όπου οι γιατροί προσπαθούν να εμφυτεύσουν συσκευές

inside of people, and all of these devices now,

μέσα στους ανθρώπους, και τώρα όλες αυτές οι συσκευές

it's standard that they communicate wirelessly,

είναι καθιερωμένο ότι επικοινωνούν ασύρματα,

and I think this is great,

και νομίζω ότι αυτό είναι φανταστικό,

but without a full understanding of trustworthy computing,

αλλά χωρίς μια πλήρη κατανόηση της αξιόπιστης υπολογιστικής ισχύς,

and without understanding what attackers can do

και χωρίς κατανόηση του τι μπορούν να κάνουν οι επιτιθέμενοι

and the security risks from the beginning,

και των κινδύνων ασφαλείας από την αρχή,

there's a lot of danger in this.

υπάρχει μεγάλος κίνδυνος σ' αυτό.

Okay, let me shift gears and show you another target.

Εντάξει, επιτρέψτε μου να αλλάξω θέμα και να σας παρουσιάσω έναν άλλο στόχο.

I'm going to show you a few different targets like this,

Πρόκειται να σας παρουσιάσω μερικούς διαφορετικούς στόχους όπως αυτόν,

and that's my talk. So we'll look at automobiles.

και αυτός είναι η ομιλία μου. Θα δούμε αυτοκίνητα.

This is a car, and it has a lot of components,

Αυτό είναι ένα αυτοκίνητο, και σήμερα έχει πολλά στοιχεία,

a lot of electronics in it today.

πολλά ηλεκτρονικά μέσα του.

In fact, it's got many, many different computers inside of it,

Έχει πολλούς, πάρα πολλούς διαφορετικούς υπολογιστές στο εσωτερικό του,

more Pentiums than my lab did when I was in college,

περισσότερους επεξεργαστές απ' ότι είχε το εργαστήριο μου όταν ήμουν στο κολέγιο,

and they're connected by a wired network.

και συνδέονται με ένα ενσύρματο δίκτυο.

There's also a wireless network in the car,

Υπάρχει επίσης ένα ασύρματο δίκτυο στο αυτοκίνητο,

which can be reached from many different ways.

το οποίο είναι προσβάσιμο με πολλούς διαφορετικούς τρόπους.

So there's Bluetooth, there's the FM and XM radio,

Έτσι υπάρχει το Bluetooth, υπάρχει το δορυφορικό ραδιόφωνο

there's actually wi-fi, there's sensors in the wheels

υπάρχει πραγματικά wi-fi, υπάρχουν αισθητήρες στους τροχούς

that wirelessly communicate the tire pressure

που μεταδίδουν ασύρματα την πίεση των ελαστικών

to a controller on board.

σε έναν ελεγκτή στο αμάξι.

The modern car is a sophisticated multi-computer device.

Το μοντέρνο αυτοκίνητο είναι μια εκλεπτυσμένη συσκευή πολλαπλών ηλεκτρονικών υπολογιστών.

And what happens if somebody wanted to attack this?

Και τι θα συμβεί αν κάποιος ήθελε να του επιτεθεί;

Well, that's what the researchers

Λοιπόν, αυτό έκαναν οι ερευνητές

that I'm going to talk about today did.

για τους οποίους θα μιλήσουμε σήμερα.

They basically stuck an attacker on the wired network

Βασικά κόλλησαν έναν εισβολέα στο ενσύρματο δίκτυο

and on the wireless network.

και στο ασύρματο δίκτυο.

Now, they have two areas they can attack.

Τώρα, έχουν δύο περιοχές που μπορούν να επιτεθούν.

One is short-range wireless, where you can actually

Η μία είναι ασύρματη, μικρής εμβέλειας, όπου μπορείτε

communicate with the device from nearby,

να επικοινωνείτε με τη συσκευή από κοντά,

either through Bluetooth or wi-fi,

είτε μέσω Bluetooth ή wi-fi,

and the other is long-range, where you can communicate

και η άλλη είναι μεγάλης εμβέλειας, όπου μπορείτε να επικοινωνήσετε

with the car through the cellular network,

με το αυτοκίνητο μέσω του δικτύου κινητής τηλεφωνίας,

or through one of the radio stations.

ή μέσω ενός από τους ραδιοφωνικούς σταθμούς.

Think about it. When a car receives a radio signal,

Σκεφτείτε το. Όταν ένα αυτοκίνητο λαμβάνει ένα ραδιοφωνικό σήμα,

it's processed by software.

αυτό επεξεργάζεται από το λογισμικό.

That software has to receive and decode the radio signal,

Αυτό το λογισμικό πρέπει να λάβει και να αποκωδικοποιήσει ραδιοφωνικό σήμα,

and then figure out what to do with it,

και στη συνέχεια να βρει τι να το κάνει,

even if it's just music that it needs to play on the radio,

ακόμη και αν είναι απλά η μουσική που χρειάζεται για να παίξει στο ραδιόφωνο,

and that software that does that decoding,

και το λογισμικό που κάνει αυτή την αποκωδικοποίηση,

if it has any bugs in it, could create a vulnerability

εάν έχει οποιαδήποτε σφάλματα, θα μπορούσε να δημιουργήσει μια αδυναμία

for somebody to hack the car.

και κάποιος θα μπορεί να χακάρει το αυτοκίνητο.

The way that the researchers did this work is,

Ο τρόπος με τον οποίο οι ερευνητές έκαναν αυτό το έργο είναι ο εξής,

they read the software in the computer chips

διαβάζουν το λογισμικό στα ολοκληρωμένα συστήματα των υπολογιστών

that were in the car, and then they used sophisticated

που ήταν στο αυτοκίνητο, και στη συνέχεια χρησιμοποίησαν εξελιγμένα

reverse engineering tools

εργαλεία αποσυμπίλισης

to figure out what that software did,

για να καταλάβουν τι έκανε αυτό το λογισμικό,

and then they found vulnerabilities in that software,

και στη συνέχεια βρήκαν τρωτά σημεία σε αυτό το λογισμικό,

and then they built exploits to exploit those.

και έπειτα έφτιαξαν ειδικά προγράμματα για να εκμεταλλευτούν τα σημεία.

They actually carried out their attack in real life.

Και έκαναν τις επιθέσεις τους σε πραγματικό χρόνο.

They bought two cars, and I guess

Αγόρασαν δύο αυτοκίνητα, και υποθέτω

they have better budgets than I do.

πως έχουν καλύτερο προϋπολογισμό από μένα.

The first threat model was to see what someone could do

Το πρώτο μοντέλο απειλής ήταν να δουν τι μπορούσε να κάνει κάποιος

if an attacker actually got access

εάν ένας εισβολέας αποκτούσε πρόσβαση

to the internal network on the car.

στο εσωτερικό δίκτυο του αυτοκίνητου.

Okay, so think of that as, someone gets to go to your car,

Εντάξει, σκεφτείτε το έτσι, κάποιοι πηγαίνουν στο αυτοκίνητό σας,

they get to mess around with it, and then they leave,

το ανακατώνουν και μετά φεύγουν,

and now, what kind of trouble are you in?

και τώρα, τι είδους προβλήματα έχετε;

The other threat model is that they contact you

Το άλλο μοντέλο απειλής είναι ότι επικοινωνούν μαζί σας

in real time over one of the wireless networks

σε πραγματικό χρόνο μέσω ενός από τα ασύρματα δίκτυα

like the cellular, or something like that,

όπως το κινητό, ή κάτι τέτοιο,

never having actually gotten physical access to your car.

χωρίς να έχουν ποτέ φυσική πρόσβαση στο αυτοκίνητό σας.

This is what their setup looks like for the first model,

Έτσι μοιάζει η εγκατάσταση για το πρώτο μοντέλο,

where you get to have access to the car.

όπου μπορείτε να έχετε πρόσβαση στο αυτοκίνητο.

They put a laptop, and they connected to the diagnostic unit

Τοποθέτησαν έναν φορητό υπολογιστή, και συνδέθηκαν στη διαγνωστική μονάδα

on the in-car network, and they did all kinds of silly things,

στο δίκτυο του αυτοκινήτου, και έκαναν ένα σωρό ανοησίες,

like here's a picture of the speedometer

όπως εδώ, είναι μια εικόνα του ταχυμέτρου

showing 140 miles an hour when the car's in park.

όπου δείχνει 140 μίλια την ώρα, ενώ το αμάξι είναι παρκαρισμένο.

Once you have control of the car's computers,

Μόλις αποκτήσετε τον έλεγχο των υπολογιστών του αυτοκινήτου,

you can do anything.

μπορείτε να κάνετε τα πάντα.

Now you might say, "Okay, that's silly."

Τώρα θα μπορούσατε να πείτε, «Εντάξει, αυτό είναι ανόητο».

Well, what if you make the car always say

Λοιπόν, τι θα γίνει αν κάνετε το αυτοκίνητο να δείχνει πάντα

it's going 20 miles an hour slower than it's actually going?

ότι πηγαίνει 30 χιλιόμετρα την ώρα πιο αργά απ' ό,τι πηγαίνει στην πραγματικότητα;

You might produce a lot of speeding tickets.

Μπορεί να πάρετε πολλές κλήσεις για υπερβολική ταχύτητα.

Then they went out to an abandoned airstrip with two cars,

Στη συνέχεια πήγαν σε έναν εγκαταλελειμμένο διάδρομο προσγείωσης με δύο αυτοκίνητα,

the target victim car and the chase car,

το αυτοκίνητο στόχος-θύμα και το αυτοκίνητο που το κυνηγά,

and they launched a bunch of other attacks.

και έκαναν και άλλες επιθέσεις.

One of the things they were able to do from the chase car

Ένα από τα πράγματα που μπόρεσαν να κάνουν από το αυτοκίνητο της επίθεσης

is apply the brakes on the other car,

είναι να κάνουν το άλλο αυτοκίνητο να φρενάρει,

simply by hacking the computer.

απλά χακάροντας τον υπολογιστή.

They were able to disable the brakes.

Ήταν σε θέση να απενεργοποιήσουν τα φρένα.

They also were able to install malware that wouldn't kick in

Επίσης, ήταν σε θέση να εγκαταστήσουν κακόβουλο λογισμικό που δεν θα ξεκινούσε

and wouldn't trigger until the car was doing something like

και δεν θα ενεργοποιούταν μέχρι το αυτοκίνητο να κάνει κάτι

going over 20 miles an hour, or something like that.

πχ να πηγαίνει πάνω από 30 χιλιόμετρα την ώρα, ή κάτι παρόμοιο με αυτό.

The results are astonishing, and when they gave this talk,

Τα αποτελέσματα είναι εκπληκτικά, και όταν έκαναν αυτή τη διάλεξη,

even though they gave this talk at a conference

ακόμα κι αν έκαναν αυτή τη διάλεξη σε ένα συνέδριο

to a bunch of computer security researchers,

σε ερευνητές ασφάλειας υπολογιστών,

everybody was gasping.

όλοι ξαφνιάστηκαν.

They were able to take over a bunch of critical computers

Μπόρεσαν να καταλάβουν κάμποσους κρίσιμους υπολογιστές

inside the car: the brakes computer, the lighting computer,

στο εσωτερικό του αυτοκινήτου: των φρένων, του φωτισμού,

the engine, the dash, the radio, etc.,

τον κινητήρα, το ταμπλώ, το ραδιόφωνο, κλπ.,

and they were able to perform these on real commercial

και μπόρεσαν να τα κάνουν σε πραγματικά εμπορικά

cars that they purchased using the radio network.

αυτοκίνητα που αγόρασαν χρησιμοποιώντας το ραδιοφωνικό δίκτυο.

They were able to compromise every single one of the

Κατάφεραν να πάρουν πρόσβαση σε κάθε ένα

pieces of software that controlled every single one

από τα κομμάτια του λογισμικού που έλεγχαν κάθε μία

of the wireless capabilities of the car.

από τις ασύρματες δυνατότητες του αυτοκινήτου.

All of these were implemented successfully.

Όλα αυτά εφαρμόστηκαν με επιτυχία.

How would you steal a car in this model?

Πώς θα κλέβατε ένα αυτοκίνητο σε αυτό το μοντέλο;

Well, you compromise the car by a buffer overflow

Λοιπόν, παίρνετε τον έλεγχο του αυτοκινήτου με υπερχείλιση προσωρινής μνήμης

of vulnerability in the software, something like that.

λόγω αδυναμίας στο λογισμικό, κάτι τέτοιο.

You use the GPS in the car to locate it.

Χρησιμοποιείτε το GPS στο αυτοκίνητο για να το εντοπίσετε.

You remotely unlock the doors through the computer

Ξεκλειδώνετε απομακρυσμένα τις πόρτες μέσω του υπολογιστή

that controls that, start the engine, bypass anti-theft,

που τις ελέγχει, ξεκινάτε τον κινητήρα, παρακάμπτετε τα αντικλεπτικά,

and you've got yourself a car.

και έχετε ένα αυτοκίνητο.

Surveillance was really interesting.

Η παρακολούθηση ήταν πραγματικά ενδιαφέρουσα.

The authors of the study have a video where they show

Οι συγγραφείς της μελέτης έχουν ένα βίντεο όπου φαίνονται

themselves taking over a car and then turning on

να παίρνουν τον έλεγχο ενός αυτοκινήτου και στη συνέχεια να ενεργοποιούν

the microphone in the car, and listening in on the car

το μικρόφωνο στο αυτοκίνητο, και να ακούν το αυτοκίνητο

while tracking it via GPS on a map,

ενώ το εντοπίζουν μέσω GPS στο χάρτη,

and so that's something that the drivers of the car

και έτσι αυτό είναι κάτι που οι οδηγοί του αυτοκινήτου

would never know was happening.

ποτέ δεν θα ξέρουν ότι συνέβαινε.

Am I scaring you yet?

Σας φόβισα;

I've got a few more of these interesting ones.

Έχω μερικά ακόμη τέτοια ενδιαφέροντα.

These are ones where I went to a conference,

Αυτά είναι από ένα συνέδριο που πήγα,

and my mind was just blown, and I said,

και με κατέπληξαν, και είπα,

"I have to share this with other people."

«Πρέπει να το μοιραστώ αυτό με άλλους ανθρώπους».

This was Fabian Monrose's lab

Αυτό ήταν το εργαστήριο του Φάμπιαν Μονρόουζ

at the University of North Carolina, and what they did was

στο Πανεπιστήμιο της Βόρειας Καρολίνας, και αυτό που έκαναν ήταν

something intuitive once you see it,

κάτι διαισθητικό μόλις το δεις,

but kind of surprising.

αλλά και κάπως εκπληκτικό.

They videotaped people on a bus,

Βιντεοσκόπησαν κόσμο σε ένα λεωφορείο,

and then they post-processed the video.

και στη συνέχεια επεξεργάστηκαν το βίντεο.

What you see here in number one is a

Αυτό που βλέπετε εδώ, στο νούμερο ένα, είναι

reflection in somebody's glasses of the smartphone

η αντανάκλαση στα γυαλιά κάποιου από το smartphone

that they're typing in.

στο οποίο πληκτρολογούν.

They wrote software to stabilize --

Έγραψαν λογισμικό για να σταθεροποιήσουν --

even though they were on a bus

ακόμα κι αν ήταν σε ένα λεωφορείο

and maybe someone's holding their phone at an angle --

και ίσως κάποιος κρατάει το τηλέφωνο τους σε μια γωνία --

to stabilize the phone, process it, and

για να σταθεροποιήσουν το τηλέφωνο, να το επεξεργαστούν, και

you may know on your smartphone, when you type

ίσως γνωρίζετε ότι στο smartphone σας, όταν πληκτρολογείτε

a password, the keys pop out a little bit, and they were able

έναν κωδικό πρόσβασης, τα πλήκτρα πετάγονται λιγάκι, και μπόρεσαν

to use that to reconstruct what the person was typing,

να το χρησιμοποιήσουν αυτό για να αναπαραστήσουν τι πληκτρολογούσαν,

and had a language model for detecting typing.

και είχαν ένα μοντέλο γλώσσας για την ανίχνευση της πληκτρολόγησης.

What was interesting is, by videotaping on a bus,

Αυτό που ήταν ενδιαφέρον από τη βιντεοσκόπηση σε ένα λεωφορείο είναι, ότι

they were able to produce exactly what people

ήταν σε θέση να παράγουν ακριβώς αυτό που οι άνθρωποι

on their smartphones were typing,

πληκτρολογούσαν στα smartphones τους,

and then they had a surprising result, which is that

και στη συνέχεια είχαν ένα εκπληκτικό αποτέλεσμα, που είναι ότι

their software had not only done it for their target,

το λογισμικό τους το έκανε, όχι μόνο για τον στόχο τους,

but other people who accidentally happened

αλλά και για άλλους που έτυχε να είναι κατά λάθος

to be in the picture, they were able to produce

στην εικόνα, μπόρεσαν να παράγουν

what those people had been typing, and that was kind of

αυτό που είχαν πληκτρολογήσει εκείνοι οι άνθρωποι, και αυτό ήταν κάπως σαν

an accidental artifact of what their software was doing.

ένα τυχαίο κατόρθωμα από αυτό που έκανε το λογισμικό τους.

I'll show you two more. One is P25 radios.

Θα σας δείξω δύο ακόμη. Το ένα είναι οι ασύρματοι P25.

P25 radios are used by law enforcement

Οι ασύρματοι P25 χρησιμοποιούνται από την αστυνομία

and all kinds of government agencies

και διάφορες κρατικές υπηρεσίες

and people in combat to communicate,

και ανθρώπους σε μάχη για να επικοινωνούν,

and there's an encryption option on these phones.

και υπάρχει μια επιλογή κρυπτογράφησης σε αυτά τα τηλέφωνα.

This is what the phone looks like. It's not really a phone.

Έτσι μοιάζει αυτό το τηλέφωνο. Δεν είναι πραγματικά ένα τηλέφωνο.

It's more of a two-way radio.

Είναι περισσότερο από ένας αμφίδρομος ασύρματος.

Motorola makes the most widely used one, and you can see

Η Motorola κατασκευάζει το πιο διαδεδομένο, και μπορείτε να δείτε

that they're used by Secret Service, they're used in combat,

ότι χρησιμοποιούνται από τις μυστικές υπηρεσίες, χρησιμοποιούνται στη μάχη,

it's a very, very common standard in the U.S. and elsewhere.

είναι πολύ κοινό στις ΗΠΑ και αλλού.

So one question the researchers asked themselves is,

Έτσι ένα πράγμα που αναρωτήθηκαν οι ερευνητές ήταν

could you block this thing, right?

αν μπορούν να το μπλοκάρουν, σωστά;

Could you run a denial-of-service,

Θα μπορούσατε να εκτελέσετε μια επίθεση άρνησης υπηρεσιών,

because these are first responders?

επειδή αυτοί είναι η πρώτοι ανταποκριτές;

So, would a terrorist organization want to black out the

Έτσι, θα ήθελε μια τρομοκρατική οργάνωση να μπλοκάρει

ability of police and fire to communicate at an emergency?

την επικοινωνία της αστυνομίας και της πυροσβεστικής σε περίπτωση έκτακτης ανάγκης;

They found that there's this GirlTech device used for texting

Βρήκαν ότι υπάρχει μια συσκευή της GirlTech για την αποστολή γραπτών μηνυμάτων

that happens to operate at the same exact frequency

που συμβαίνει να λειτουργεί στην ίδια ακριβώς συχνότητα

as the P25, and they built what they called

όπως το P25, και έκαναν αυτό που λένε

My First Jammer. (Laughter)

O πρώτος μου παρεμβολέας. (Γέλια)

If you look closely at this device,

Αν εξετάσετε προσεκτικά αυτήν τη συσκευή,

it's got a switch for encryption or cleartext.

έχει ένα διακόπτη για κρυπτογράφηση ή απλό κείμενο.

Let me advance the slide, and now I'll go back.

Επιτρέψτε μου να προχωρήσω τη διαφάνεια, και τώρα θα πάω πίσω.

You see the difference?

Μπορείτε να δείτε τη διαφορά;

This is plain text. This is encrypted.

Αυτό είναι το απλό κείμενο. Αυτό είναι κρυπτογραφημένο.

There's one little dot that shows up on the screen,

Υπάρχει μια μικρή κουκίδα που εμφανίζεται στην οθόνη,

and one little tiny turn of the switch.

και μία μικρή μικροσκοπική στροφή του διακόπτη.

And so the researchers asked themselves, "I wonder how

Και έτσι οι ερευνητές αναρωτήθηκαν, «Αναρωτιέμαι

many times very secure, important, sensitive conversations

πόσες φορές πολύ ασφαλείς, σημαντικές, ευαίσθητες συνομιλίες

are happening on these two-way radios where they forget

γίνονται σε αυτούς τους ασύρματους, όπου ξεχνούν

to encrypt and they don't notice that they didn't encrypt?"

να αποκρυπτογραφήσουν και δεν προσέχουν ότι δεν κρυπτογραφούν;»

So they bought a scanner. These are perfectly legal

Έτσι, αγόρασαν ένα σαρωτή. Αυτά είναι απολύτως νόμιμα

and they run at the frequency of the P25,

και τρέχουν στη συχνότητα του P25,

and what they did is they hopped around frequencies

και αυτό που έκαναν είναι ότι γυρνούσαν στις συχνότητες

and they wrote software to listen in.

και έγραφαν λογισμικό για τις ακούν.

If they found encrypted communication, they stayed

Αν έβρισκαν κρυπτογραφημένη επικοινωνία, έμεναν

on that channel and they wrote down, that's a channel

σε αυτό κανάλι και σημείωναν, αυτό είναι ένα κανάλι

that these people communicate in,

στο οποίο επικοινωνούν αυτοί οι άνθρωποι,

these law enforcement agencies,

αυτές οι αστυνομικές υπηρεσίες,

and they went to 20 metropolitan areas and listened in

και πήγαν σε 20 μητροπολιτικές περιοχές και άκουσαν

on conversations that were happening at those frequencies.

συνομιλίες που γινόντουσαν σε αυτές τις συχνότητες.

They found that in every metropolitan area,

Διαπίστωσαν ότι σε κάθε μητροπολιτική περιοχή,

they would capture over 20 minutes a day

μπορούσαν να πιάσουν πάνω από 20 λεπτά την ημέρα

of cleartext communication.

απλό κείμενο επικοινωνίας.

And what kind of things were people talking about?

Και για τι είδους πράγματα μιλούσαν;

Well, they found the names and information

Λοιπόν, βρήκαν ονόματα και πληροφορίες

about confidential informants. They found information

για μυστικούς πληροφοριοδότες. Βρήκαν πληροφορίες

that was being recorded in wiretaps,

που είχαν καταγραφεί σε υποκλοπές,

a bunch of crimes that were being discussed,

διάφορα εγκλημάτα που συζητούσαν,

sensitive information.

ευαίσθητες πληροφορίες.

It was mostly law enforcement and criminal.

Ήταν ως επί το πλείστον αστυνομικά και ποινικά.

They went and reported this to the law enforcement

Πήγαν και το ανέφεραν σε αστυνομικές υπηρεσίες

agencies, after anonymizing it,

αφού το ανωνυμοποιήσαν,

and the vulnerability here is simply the user interface

και η ευπάθεια εδώ είναι απλά ότι το περιβάλλον εργασίας του χρήστη

wasn't good enough. If you're talking

δεν ήταν αρκετά καλό. Αν μιλάτε

about something really secure and sensitive, it should

για κάτι πραγματικά ασφαλές και ευαίσθητο, πρέπει να

be really clear to you that this conversation is encrypted.

σας είναι πραγματικά σαφές ότι αυτή η συζήτηση είναι κρυπτογραφημένη.

That one's pretty easy to fix.

Αυτό είναι αρκετά εύκολο να διορθωθεί.

The last one I thought was really, really cool,

Το τελευταίο που σκέφτηκα ήταν πραγματικά, πραγματικά φανταστικό,

and I just had to show it to you, it's probably not something

και απλά έπρεπε να σας το δείξω, δεν είναι πιθανώς κάτι

that you're going to lose sleep over

για το οποίο θα χάσετε τον ύπνο σας

like the cars or the defibrillators,

όπως τα αυτοκίνητα ή οι απινιδωτές,

but it's stealing keystrokes.

αλλά καταγράφει την πληκτρολόγηση.

Now, we've all looked at smartphones upside down.

Τώρα, όλοι έχουμε δει τα smartphones μπρος πίσω.

Every security expert wants to hack a smartphone,

Κάθε εμπειρογνώμονας ασφάλειας θέλει να χακάρει ένα smartphone,

and we tend to look at the USB port, the GPS for tracking,

και έχουμε την τάση να εξετάζουμε τη θύρα USB, το GPS για παρακολούθηση,

the camera, the microphone, but no one up till this point

τη κάμερα, το μικρόφωνο, αλλά κανείς μέχρι τώρα

had looked at the accelerometer.

δεν είχε εξετάσει το επιταχυνσιόμετρο.

The accelerometer is the thing that determines

Το επιταχυνσιόμετρο είναι αυτό που καθορίζει

the vertical orientation of the smartphone.

τον κατακόρυφο προσανατολισμό του smartphone.

And so they had a simple setup.

Και έτσι είχαν μια απλή εγκατάσταση.

They put a smartphone next to a keyboard,

Έβαλαν ένα smartphone δίπλα σε ένα πληκτρολόγιο,

and they had people type, and then their goal was

και έβαλαν κάποιον να πληκτρολογεί και στη συνέχεια ο στόχος τους ήταν

to use the vibrations that were created by typing

να χρησιμοποιήσουν τις δονήσεις που δημιουργήθηκαν με τη δακτυλογράφηση

to measure the change in the accelerometer reading

για να μετρήσουν τις αλλαγές στις εγγραφές στο επιταχυνσιόμετρο

to determine what the person had been typing.

ώστε να καθορίσουν τι είχε πληκτρολογηθεί.

Now, when they tried this on an iPhone 3GS,

Τώρα, όταν το προσπάθησαν αυτό σε ένα iPhone 3GS,

this is a graph of the perturbations that were created

αυτό είναι ένα γράφημα από τις διαταραχές που δημιουργήθηκαν

by the typing, and you can see that it's very difficult

από την πληκτρολόγηση, και μπορείτε να δείτε ότι είναι πολύ δύσκολο

to tell when somebody was typing or what they were typing,

να πείτε πότε κάποιος πληκτρολογούσε ή τι πληκτρολογούσε,

but the iPhone 4 greatly improved the accelerometer,

αλλά το iPhone 4 βελτίωσε σημαντικά το επιταχυνσιόμετρο,

and so the same measurement

και έτσι η ίδια μέτρηση

produced this graph.

παρήγαγε αυτό το γράφημα.

Now that gave you a lot of information while someone

Τώρα αυτό σας έδινε πολλές πληροφορίες όσο κάποιος

was typing, and what they did then is used advanced

πληκτρολογούσε, και αυτό που έκαναν είναι ότι χρησιμοποίησαν προηγμένες

artificial intelligence techniques called machine learning

τεχνικές τεχνητής νοημοσύνης, που ονομάζονται μηχανική μάθηση

to have a training phase,

ώστε να έχουν μια εκπαιδευτική φάση,

and so they got most likely grad students

και έτσι κατά πάσα πιθανότητα έβαλαν φοιτητές

to type in a whole lot of things, and to learn,

να πληκτρολογούν διάφορα πράγματα, και να μάθουν,

to have the system use the machine learning tools that

να έχουν το σύστημα να χρησιμοποιεί τα εργαλεία της μηχανικής μάθησης που

were available to learn what it is that the people were typing

ήταν διαθέσιμα για να μάθουν τι πληκτρολογούσαν

and to match that up

και να το ταιριάξουν

with the measurements in the accelerometer.

με τις μετρήσεις στο επιταχυνσιόμετρο.

And then there's the attack phase, where you get

Και έπειτα υπάρχει η φάση της επίθεσης, όπου βάζετε

somebody to type something in, you don't know what it was,

κάποιον να πληκτρολογήσει κάτι, δεν ξέρετε τι ήταν,

but you use your model that you created

αλλά χρησιμοποιείτε το μοντέλο που δημιουργήσατε

in the training phase to figure out what they were typing.

στην εκπαιδευτική φάση για να καταλάβετε τι δακτυλογράφησαν.

They had pretty good success. This is an article from the USA Today.

Είχαν πολύ καλή επιτυχία. Αυτό είναι ένα άρθρο από την USA Today.

They typed in, "The Illinois Supreme Court has ruled

Δακτυλογράφησαν, «Το ανώτατο δικαστήριο του Ιλλινόις έχει αποφανθεί

that Rahm Emanuel is eligible to run for Mayor of Chicago"

ότι ο Ραμ Εμάνιουελ μπορεί να βάλει υποψηφιότητα για δήμαρχος του Σικάγο»

— see, I tied it in to the last talk —

— δείτε, το συνέδεσα με την προηγούμενη ομιλία —

"and ordered him to stay on the ballot."

«και τον διέταξε να μείνει στο ψηφοδέλτιο».

Now, the system is interesting, because it produced

Τώρα, το σύστημα παρουσιάζει ενδιαφέρον, επειδή παρήγαγε

"Illinois Supreme" and then it wasn't sure.

«Το ανώτατο του Ιλλινόις» και, στη συνέχεια, δεν ήταν σίγουρο.

The model produced a bunch of options,

Το μοντέλο παρήγαγε μερικές επιλογές,

and this is the beauty of some of the A.I. techniques,

και αυτή είναι η ομορφιά ορισμένων τεχνικών τεχνητής νοημοσύνης,

is that computers are good at some things,

είναι ότι οι υπολογιστές είναι καλοί σε κάποια πράγματα,

humans are good at other things,

οι άνθρωποι είναι καλοί σε άλλα πράγματα,

take the best of both and let the humans solve this one.

πάρτε το καλύτερο από τους δύο και αφήστε τους ανθρώπους να το λύσουν.

Don't waste computer cycles.

Μην σπαταλάτε υπολογιστικούς κύκλους.

A human's not going to think it's the Supreme might.

Ένας άνθρωπος δεν πρόκειται να νομίζει ότι είναι η ανώτατη δύναμη.

It's the Supreme Court, right?

Είναι το ανώτατο δικαστήριο, σωστά;

And so, together we're able to reproduce typing

Και έτσι, μαζί, είμαστε σε θέση να αναπαράγουμε την πληκτρολόγηση

simply by measuring the accelerometer.

απλά μετρώντας το επιταχυνσιόμετρο.

Why does this matter? Well, in the Android platform,

Γιατί είναι σημαντικό αυτό; Λοιπόν, με την πλατφόρμα Android,

for example, the developers have a manifest

για παράδειγμα, οι προγραμματιστές έχουν ένα μανιφέστο

where every device on there, the microphone, etc.,

όπου κάθε συσκευή εκεί, το μικρόφωνο, κλπ.,

has to register if you're going to use it

πρέπει να εγγραφεί αν πρόκειται να το χρησιμοποιήσετε

so that hackers can't take over it,

έτσι ώστε οι χάκερ να μη μπορούν να πάρουν τον έλεγχο

but nobody controls the accelerometer.

αλλά κανείς δεν ελέγχει το επιταχυνσιόμετρο.

So what's the point? You can leave your iPhone next to

Έτσι, ποια είναι η ουσία; Μπορείτε να αφήσετε το iPhone σας δίπλα στο

someone's keyboard, and just leave the room,

πληκτρολόγιο κάποιου, και απλά φύγετε από το δωμάτιο,

and then later recover what they did,

και στη συνέχεια ανακτάτε ό, τι έκαναν,

even without using the microphone.

ακόμη και χωρίς τη χρήση του μικροφώνου.

If someone is able to put malware on your iPhone,

Αν κάποιος μπορεί να βάλει κακόβουλο λογισμικό στο iPhone σας,

they could then maybe get the typing that you do

μπορεί μετά να έχουν πρόσβαση σε αυτά που πληκτρολογείτε

whenever you put your iPhone next to your keyboard.

κάθε φορά που βάζετε το iPhone σας δίπλα από το πληκτρολόγιό σας.

There's several other notable attacks that unfortunately

Υπάρχουν αρκετές άλλες αξιοσημείωτες επιθέσεις που δυστυχώς

I don't have time to go into, but the one that I wanted

δεν έχω χρόνο να αναφέρω, αλλά αυτό που ήθελα

to point out was a group from the University of Michigan

να επισημάνω ήταν μια ομάδα από το Πανεπιστήμιο του Μίσιγκαν

which was able to take voting machines,

που ήταν σε θέση να πάρει μηχανές ψηφοφορίας,

the Sequoia AVC Edge DREs that

τις Sequoia AVC Edge DREs που

were going to be used in New Jersey in the election

επρόκειτο να χρησιμοποιηθούν στις εκλογές στο Νιου Τζέρσεϊ,

that were left in a hallway, and put Pac-Man on it.

που τις είχαν αφήσει σε έναν διάδρομο, και τους έβαλαν το Pac-Man.

So they ran the Pac-Man game.

Και έτρεξαν το παιχνίδι Pac-Man.

What does this all mean?

Τι σημαίνουν όλα αυτά;

Well, I think that society tends to adopt technology

Λοιπόν, νομίζω ότι η κοινωνία τείνει να υιοθετεί την τεχνολογία

really quickly. I love the next coolest gadget.

πραγματικά γρήγορα. Λατρεύω το επόμενο νέο γκάτζετ.

But it's very important, and these researchers are showing,

Αλλά είναι πολύ σημαντικό, και αυτοί οι ερευνητές δείχνουν,

that the developers of these things

ότι οι προγραμματιστές αυτών των πράγματων

need to take security into account from the very beginning,

πρέπει να λάβουν υπόψη την ασφάλεια από την αρχή,

and need to realize that they may have a threat model,

και πρέπει να συνειδητοποιήσουν ότι μπορεί να έχουν ένα μοντέλο απειλής,

but the attackers may not be nice enough

αλλά οι επιτιθέμενοι ίσως να μην είναι και τόσο καλοί

to limit themselves to that threat model,

ώστε να περιοριστούν σε αυτό το απειλητικό μοντέλο,

and so you need to think outside of the box.

και έτσι χρειάζεται να σκεφτείτε διαφορετικά, αντισυμβατικά.

What we can do is be aware

Αυτό που μπορούμε να κάνουμε είναι να γνωρίζουμε

that devices can be compromised,

ότι οι συσκευές μπορεί να διακινδυνεύσουν,

and anything that has software in it

και οτιδήποτε έχει λογισμικό μέσα του

is going to be vulnerable. It's going to have bugs.

θα είναι ευάλωτο. Θα έχει σφάλματα.

Thank you very much. (Applause)

Σας ευχαριστώ πολύ. (Χειροκρότημα)