Avi Rubin: All your devices can be hacked

Translator: Joseph Geni Reviewer: Morton Bast

Translator: Michaela Grossova Reviewer: Dana Retová

I'm a computer science professor,

Som profesorom informatiky

and my area of expertise is

a špecializujem sa

computer and information security.

na počítačovú a informačnú bezpečnosť.

When I was in graduate school,

Počas môjho postgraduálneho štúdia

I had the opportunity to overhear my grandmother

som raz počul moju babičku

describing to one of her fellow senior citizens

ako rozprávala jednej kamarátke,

what I did for a living.

čím sa živím.

Apparently, I was in charge of making sure that

Podľa nej som bol zodpovedný za to,

no one stole the computers from the university. (Laughter)

aby nikto neukradol univerzitný počítač. (smiech)

And, you know, that's a perfectly reasonable thing

Mala plné právo si to myslieť,

for her to think, because I told her I was working

lebo ja sám som jej povedal, že sa starám

in computer security,

o bezpečnosť počítačov.

and it was interesting to get her perspective.

Bolo celkom zaujímavé, pozrieť sa na vec z jej pohľadu.

But that's not the most ridiculous thing I've ever heard

Ale ani zďaleka to nie je najčudnejšia vec,

anyone say about my work.

akú som kedy o svojej práci počul.

The most ridiculous thing I ever heard is,

Najčudnejšiu poznámku o mojej práci

I was at a dinner party, and a woman heard

som započul na večierku, kde sa ma jedna pani

that I work in computer security,

po tom, čo sa dozvedela,

and she asked me if -- she said her computer had been

že pracujem v oblasti počítačovej bezpečnosti,

ustráchane spýtala či môže z vírusu, ktorý postihol jej počítač,

infected by a virus, and she was very concerned that she

might get sick from it, that she could get this virus. (Laughter)

ochorieť aj ona a nakaziť sa. (smiech)

And I'm not a doctor, but I reassured her

Nie som doktor, ale uistil som ju,

that it was very, very unlikely that this would happen,

že je naozaj veľmi nepravdepodobné, že by sa takého niečo mohlo stať.

but if she felt more comfortable, she could be free to use

Ale keď chce mať 100 % istotu, odporučil som jej

latex gloves when she was on the computer,

nosiť pri práci s počítačom latexové rukavice.

and there would be no harm whatsoever in that.

Tým nemôže nič pokaziť.

I'm going to get back to this notion of being able to get

Vrátim sa však naspäť k myšlienke, že by sa človek mohol

a virus from your computer, in a serious way.

nakaziť od počítačového vírusu. Ale tentokrát to myslím vážne.

What I'm going to talk to you about today

Rád by som vám dnes porozprával

are some hacks, some real world cyberattacks that people

o hackovaní, o ozajstných kybernetických útokoch,

in my community, the academic research community,

ktoré ľudia z mojej brandže, akademickí výskumníci,

have performed, which I don't think

vykonávajú a o ktorých, predpokladám,

most people know about,

že veľa ľudí nevie,

and I think they're very interesting and scary,

ale sú veľmi zaujímavé a desivé.

and this talk is kind of a greatest hits

Táto prednáška je prehľadom najväčších hitov

of the academic security community's hacks.

v oblasti hackov akademickej bezpečnostnej komunity.

Nič z toho som neurobil ja, všetko je to práca

None of the work is my work. It's all work

mojich kolegov. Ja som ich iba požiadal o prezentácie,

that my colleagues have done, and I actually asked them

for their slides and incorporated them into this talk.

ktoré som potom skombinoval do tejto prednášky.

So the first one I'm going to talk about

Najskôr vám poviem niečo

are implanted medical devices.

o implantovaných medicínskych zariadeniach.

Now medical devices have come a long way technologically.

Medicínske zariadenia prešli dlhým technickým vývojom.

You can see in 1926 the first pacemaker was invented.

Ako vidíte, prvý kardiostimulátor zostrojili v roku 1926.

1960, the first internal pacemaker was implanted,

V roku 1960 bol prvýkrát implantovaný do tela.

hopefully a little smaller than that one that you see there,

Dúfam, že bol menší ako ten na obrázku.

and the technology has continued to move forward.

Technický vývoj naďalej napredoval.

In 2006, we hit an important milestone from the perspective

Významný míľnik, hlavne z hľadiska

of computer security.

počítačovej bezpečnosti, nastal v roku 2006.

And why do I say that?

Spomínam to preto,

Because that's when implanted devices inside of people

lebo vtedy sa v zariadeniach implantovaných do ľudského tela

started to have networking capabilities.

začala používať bezdrôtová sieťová komunikácia.

Aby ste si to vedeli lepšie predstaviť, pozrieme sa

One thing that brings us close to home is we look

at Dick Cheney's device, he had a device that

na zariadenie v tele Dicka Cheneyho.

pumped blood from an aorta to another part of the heart,

Tento prístroj pumpuje krv z aorty do inej časti srdca

and as you can see at the bottom there,

a ako môžete vidieť tu dole,

it was controlled by a computer controller,

všetko to riadi počítačový regulátor.

and if you ever thought that software liability

A ak ste si niekedy mysleli, že spoľahlivosť softvéra

was very important, get one of these inside of you.

je dôležitá, skúste si nechať voperovať takýto prístroj do tela.

Now what a research team did was they got their hands

A preto prišli výskumníci s niečím,

on what's called an ICD.

čo sa nazýva ICD.

This is a defibrillator, and this is a device

Toto je defibrilátor – zariadenie,

that goes into a person to control their heart rhythm,

ktoré sa voperuje do hrude a riadi rytmus srdca.

and these have saved many lives.

Tieto zariadenia zachránili už veľa životov.

Well, in order to not have to open up the person

Aby nemuseli pri každom preprogramovaní zariadenia,

every time you want to reprogram their device

či diagnostikovaní otvárať pacientov hrudník,

or do some diagnostics on it, they made the thing be able

vyrobili výskumníci zariadenie, ktoré dokáže

to communicate wirelessly, and what this research team did

komunikovať bezdrôtovo. Pomocou reverzného inžinierstva

is they reverse engineered the wireless protocol,

napodobnili výskumníci tento protokol bezdrôtovej komunikácie

and they built the device you see pictured here,

a vytvorili zariadenie, ktoré je na obrázku,

with a little antenna, that could talk the protocol

s malou anténou, ktorá umožňuje

to the device, and thus control it.

používanie tohto protokolu, a tak riadi celé zariadenie.

In order to make their experience real -- they were unable

Aby si overili, že ich experiment funguje – nedokázali však

to find any volunteers, and so they went

nájsť žiadnych dobrovoľníkov – vyformovali

and they got some ground beef and some bacon

z pomletého hovädzieho mäsa a slaniny

and they wrapped it all up to about the size

niečo, čo pripomínalo

of a human being's area where the device would go,

časť ľudského tela,

and they stuck the device inside it

a strčili tam to zariadenie.

to perform their experiment somewhat realistically.

Vytvorili tak realistické podmienky na overenie experimentu.

They launched many, many successful attacks.

Podarilo sa im vykonať veľa úspešných útokov,

vyzdvihnem jeden z nich – podarilo sa im zmeniť meno pacienta.

One that I'll highlight here is changing the patient's name.

Neviem, prečo by to niekto robil,

I don't know why you would want to do that,

but I sure wouldn't want that done to me.

ale viem, že nechcem, aby sa to stalo mne.

And they were able to change therapies,

Okrem toho mohli meniť terapie a

including disabling the device -- and this is with a real,

zariadenie dokonca úplne vypnúť. Vykonali to na skutočnom,

commercial, off-the-shelf device --

predávanom a používanom zariadení

simply by performing reverse engineering and sending

len pomocou reverzného inžinierstva

wireless signals to it.

a bezdrôtovou komunikáciou.

There was a piece on NPR that some of these ICDs

Existoval dokonca typ kardiostimulátora,

could actually have their performance disrupted

ktorého činnosť sa narušila

simply by holding a pair of headphones onto them.

priložením obyčajných slúchadiel.

Now, wireless and the Internet

Bezdrôtové systémy a internet

môžu výrazne zlepšiť zdravotnú starostlivosť.

can improve health care greatly.

There's several examples up on the screen

Na obrazovke vidíte

of situations where doctors are looking to implant devices

niekoľko situácií, keď doktori komunikujú so zariadením

inside of people, and all of these devices now,

voperovaným do tela pacienta bezdrôtovo.

it's standard that they communicate wirelessly,

Je skvelé, že sa bezdrôtová komunikácia stala štandardom,

and I think this is great,

avšak nesmieme zabúdať na hrozby

but without a full understanding of trustworthy computing,

v podobe nedostatočného pochopenia týchto zariadení,

and without understanding what attackers can do

hackerov a ich útokov

and the security risks from the beginning,

či mnohých bezpečnostných rizík.

there's a lot of danger in this.

Môže to byť veľmi nebezpečné.

Okay, let me shift gears and show you another target.

Teraz vám ukážem ďalší príklad,

I'm going to show you a few different targets like this,

keď hackeri zaútočili na takého zariadenia.

and that's my talk. So we'll look at automobiles.

Ďalším terčom môžu byť automobily.

This is a car, and it has a lot of components,

Toto je auto. V dnešnej dobe sa skladá

a lot of electronics in it today.

z mnohých súčastí a elektroniky.

In fact, it's got many, many different computers inside of it,

V skutočnosti má v sebe veľa rôznych počítačov

more Pentiums than my lab did when I was in college,

a viac Pentií, ako mal labák na našej škole.

and they're connected by a wired network.

Pospájané sú káblovou sieťou.

There's also a wireless network in the car,

Ale v aute sú aj bezdrôtové siete,

which can be reached from many different ways.

ku ktorým sa dá pripojiť mnohými spôsobmi.

So there's Bluetooth, there's the FM and XM radio,

Cez Bluetooth, FM a sieťové rádia

there's actually wi-fi, there's sensors in the wheels

či Wi-Fi, v kolesách sú senzory,

that wirelessly communicate the tire pressure

ktoré komunikujú bezdrôtovo s palubným počítačom

to a controller on board.

vnútri a merajú tlak v pneumatikách.

The modern car is a sophisticated multi-computer device.

Moderné auto je sofistikované zariadenie zložené z mnohých počítačov.

And what happens if somebody wanted to attack this?

Čo sa stane, keď nejaký hacker zaútočí na toto zariadenie?

Well, that's what the researchers

Poviem vám o útokoch,

that I'm going to talk about today did.

ktoré sa podarili výskumníkom.

They basically stuck an attacker on the wired network

Jednoducho zaútočili na káblovú

and on the wireless network.

i bezdrôtovú sieť.

Now, they have two areas they can attack.

Mohli útočiť dvomi spôsobmi – na malú a veľkú vzdialenosť.

One is short-range wireless, where you can actually

Pri tej prvej môžete komunikovať

communicate with the device from nearby,

pomocou zariadenia v tesnej blízkosti

either through Bluetooth or wi-fi,

cez WiFi či Bluetooth

and the other is long-range, where you can communicate

a pri tej druhej pomocou

with the car through the cellular network,

siete mobilných telefónov

or through one of the radio stations.

alebo rádiových sietí.

Think about it. When a car receives a radio signal,

Zamyslite sa nad tým. Keď auto príjme rádiový signál,

it's processed by software.

spracuje ho prostredníctvom softvéru.

That software has to receive and decode the radio signal,

Softvér musí vedieť rádiový signál prijať, dešifrovať ho

and then figure out what to do with it,

a správne ho spracovať.

even if it's just music that it needs to play on the radio,

Aj keď ide len o hudbu a jej prehrávanie v rádiu.

and that software that does that decoding,

Softvér, ktorý dešifruje informácie,

if it has any bugs in it, could create a vulnerability

musí byť bezchybný. Prípadné chyby

for somebody to hack the car.

by zvýšili riziko napadnutia softvéru.

The way that the researchers did this work is,

Výskumníci to urobili tak,

they read the software in the computer chips

že prečítali softvér uložený na čipoch v aute,

that were in the car, and then they used sophisticated

potom zistili pomocou sofistikovaných nástrojov

reverse engineering tools

reverzného inžinierstva,

to figure out what that software did,

čo ten softvér robí

and then they found vulnerabilities in that software,

a aké sú jeho zraniteľné miesta.

and then they built exploits to exploit those.

Na tieto miesta potom zaútočili.

They actually carried out their attack in real life.

Vyskúšali to aj v skutočnosti.

They bought two cars, and I guess

Kúpili dve autá,

they have better budgets than I do.

asi majú lepší rozpočet ako ja.

The first threat model was to see what someone could do

Pri prvom type útoku skúšali, čo sa stane,

if an attacker actually got access

keď sa útočníkovi podarí nabúrať

to the internal network on the car.

do internej siete automobilu.

Okay, so think of that as, someone gets to go to your car,

Predstavte si to tak, že sa niekto dostane do vášho auta,

they get to mess around with it, and then they leave,

všetko tam rozhádže a odíde.

and now, what kind of trouble are you in?

A vy musíte vyriešiť všetky problémy, ktoré nastanú potom.

The other threat model is that they contact you

Pri druhom type útoku sa útočník nabúra do automobilového softvéru

in real time over one of the wireless networks

v reálnom čase cez bezdrôtovú sieť

like the cellular, or something like that,

napr. cez mobilnú sieť,

never having actually gotten physical access to your car.

a vôbec nepotrebujú byť vo vašom aute.

This is what their setup looks like for the first model,

Takto vyzeralo vybavenie pri prvom type útoku,

where you get to have access to the car.

keď má útočník fyzický prístup do auta.

They put a laptop, and they connected to the diagnostic unit

Do auta umiestnili laptop a pripojili ho k diagnostickej jednotke

on the in-car network, and they did all kinds of silly things,

automobilovej siete a skúšali zmeniť všetky možné veci.

like here's a picture of the speedometer

Napríklad, tento tachometer

showing 140 miles an hour when the car's in park.

ukazoval rýchlosť 230 km/h, hoci auto stálo na parkovisku.

Once you have control of the car's computers,

Keď sa vám raz podarí nabúrať do počítača v aute,

you can do anything.

máte voľnú ruku.

Now you might say, "Okay, that's silly."

Môžno si myslíte: „Veď to je smiešne.“

Well, what if you make the car always say

Ale keď vám bude tachometer stále ukazovať

it's going 20 miles an hour slower than it's actually going?

približne o 30 km/h menej, ako naozaj idete,

You might produce a lot of speeding tickets.

kto bude platiť tie pokuty za rýchlosť?

Then they went out to an abandoned airstrip with two cars,

Potom sa vybrali s dvomi autami

the target victim car and the chase car,

na opustené letisko,

and they launched a bunch of other attacks.

kde vykonali niekoľko iných útokov.

One of the things they were able to do from the chase car

Jednou z vecí, ktoré dokázali riadiť z auta, z ktorého útočili,

is apply the brakes on the other car,

bolo zabrzdiť napadnuté auto.

simply by hacking the computer.

Stačilo sa len nabúrať do jeho počítača.

They were able to disable the brakes.

Brzdy sa im nakoniec podarilo úplne vypnúť.

They also were able to install malware that wouldn't kick in

Ďalej sa im podarilo nainštalovať malvér, škodlivý softvér,

ktorý nič nespúšťal, ale len čakal, kým auto niečo neurobí,

and wouldn't trigger until the car was doing something like

going over 20 miles an hour, or something like that.

napríklad kým neprekročí rýchlosť 30km/h alebo niečo podobné, a potom zaútočil.

The results are astonishing, and when they gave this talk,

Výsledky boli ohromujúce. Keď ich prednášali na konferencii

even though they gave this talk at a conference

plnej výskumníkov

to a bunch of computer security researchers,

v oblasti počítačovej bezpečnosti,

everybody was gasping.

všetkým to vyrazilo dych.

They were able to take over a bunch of critical computers

Podarilo sa im predsa nabúrať do kľúčových automobilových počítačov

inside the car: the brakes computer, the lighting computer,

ako brzdy, svetlá, motor,

the engine, the dash, the radio, etc.,

palubná doska, rádio a ostatné.

and they were able to perform these on real commercial

Podarilo sa im to na skutočných autách,

cars that they purchased using the radio network.

ktoré kúpili, a pomocou rádiovej siete.

They were able to compromise every single one of the

Podarilo sa im napadnúť každú časť softvéru,

pieces of software that controlled every single one

ktorá riadi všetky

of the wireless capabilities of the car.

bezdrôtové procesy v aute.

All of these were implemented successfully.

A všetky útoky prebehli úspešne.

How would you steal a car in this model?

Ako by ste ukradli auto na veľkú vzdialenosť?

Well, you compromise the car by a buffer overflow

Jednoducho. Stačí len ohroziť softvér v aute

of vulnerability in the software, something like that.

napríklad pomocou preplnenia vyrovnávacej pamäte.

You use the GPS in the car to locate it.

Na lokalizáciu auta použijete GPS.

You remotely unlock the doors through the computer

Na diaľku sa vám podarí odomknúť dvere pomocou počítača,

that controls that, start the engine, bypass anti-theft,

ktorý to riadi, naštartovať a vypnúť bezpečnostný systém

and you've got yourself a car.

a auto je vaše.

Surveillance was really interesting.

Tento experiment bol veľmi zaujímavý.

The authors of the study have a video where they show

Výskumníci natočili video,

themselves taking over a car and then turning on

na ktorom prevzali kontrolou nad autom,

the microphone in the car, and listening in on the car

v ktorom potom na diaľku zapli mikrofón a odpočúvali posádku

while tracking it via GPS on a map,

a zároveň sledovali polohu auta na mape pomocou GPS.

and so that's something that the drivers of the car

Toto sú veci, o ktorých by majiteľ napadnutého auta

would never know was happening.

ani netušil, že práve prebiehajú.

Am I scaring you yet?

Už sa bojíte?

Poviem vám ešte niekoľko zaujímavých príkladov.

I've got a few more of these interesting ones.

These are ones where I went to a conference,

Dozvedel som sa o nich na jednej konferencii,

and my mind was just blown, and I said,

a tak ma ohromili, že sa jednoducho

"I have to share this with other people."

musím o ne s vami podeliť.

This was Fabian Monrose's lab

Toto je laboratórium Fabiana Monrosa

at the University of North Carolina, and what they did was

na univerzite v Severnej Karolíne. Ich výskum môže pôsobiť

something intuitive once you see it,

jednoducho a intuitívne,

but kind of surprising.

ale budete prekvapení.

They videotaped people on a bus,

Natáčali ľudí v autobuse

and then they post-processed the video.

a potom natočené zábery spracovali.

What you see here in number one is a

Pod jednotkou je

reflection in somebody's glasses of the smartphone

v okuliaroch cestujúceho

odraz obrazovky smartfónu.

that they're typing in.

They wrote software to stabilize --

Výskumníci vytvorili softvér,

even though they were on a bus

ktorý obraz stabilizuje a spracuje,

and maybe someone's holding their phone at an angle --

dokonca aj v autobuse alebo ak držíte telefón v divnom uhle.

to stabilize the phone, process it, and

Ako iste viete,

you may know on your smartphone, when you type

keď zadávate do smartfónu heslo,

a password, the keys pop out a little bit, and they were able

stlačené písmena na chvíľu vystúpia hore,

to use that to reconstruct what the person was typing,

a práve z tohto dokážu zistiť, čo ste napísali.

and had a language model for detecting typing.

Okrem toho používajú aj jazykový model, aby text rýchlejšie rozlúštili.

What was interesting is, by videotaping on a bus,

Zaujímavé bolo, že zo záznamov v autobuse

they were able to produce exactly what people

presne zistili,

on their smartphones were typing,

čo konkrétny človek na svojom smartfóne píše.

and then they had a surprising result, which is that

Prekvapivé bolo, že ich softvér nezachytil

their software had not only done it for their target,

len cieľovú osobu, ale aj ostatných ľudí,

but other people who accidentally happened

ktorí sa náhodou dostali do záberu

to be in the picture, they were able to produce

a pomohol im zistiť, čo títo náhodní ľudia

what those people had been typing, and that was kind of

písali na svojich smartfónoch.

an accidental artifact of what their software was doing.

Bol to vedľajší produkt ich softvéru.

I'll show you two more. One is P25 radios.

Ešte tu mám dva príklady. Jeden sa týka vysielačiek P25.

P25 radios are used by law enforcement

Používajú ich ozbrojené jednotky,

and all kinds of government agencies

všetky vládne úrady

and people in combat to communicate,

a vojaci na komunikáciu.

and there's an encryption option on these phones.

Ich výhodou je možnosť zašifrovania prenášanej informácie.

This is what the phone looks like. It's not really a phone.

Takto vyzerajú tie telefóny. Nie je to vlastne telefón,

It's more of a two-way radio.

ale skôr obojsmerná vysielačka.

Motorola makes the most widely used one, and you can see

Najpoužívanejšie vyrába Motorola a ako vidíte

that they're used by Secret Service, they're used in combat,

používajú sa hlavne vo vojne či tajnej službe

it's a very, very common standard in the U.S. and elsewhere.

a sú bežným štandardom v USA ale aj inde na svete.

So one question the researchers asked themselves is,

Výskumníci si preto povedali:

could you block this thing, right?

Táto vec by sa dala predsa zablokovať, nie?

Could you run a denial-of-service,

Dali by sa tieto vysielačky hacknúť,

because these are first responders?

aj keď ich používajú jednotky prvej pomoci?

So, would a terrorist organization want to black out the

Mohli by teda teroristické organizácie znemožniť

ability of police and fire to communicate at an emergency?

polícií a požiarnikom komunikovať v prípade nebezpečenstva?

They found that there's this GirlTech device used for texting

Zistilo sa, že zariadenie GirlTech, využívané na posielanie správ,

that happens to operate at the same exact frequency

náhodou pracuje na rovnakej frekvencii

as the P25, and they built what they called

ako vysielačky P25 a pomocou neho zostrojili zariadenie,

My First Jammer. (Laughter)

ktoré nazvali Moja prvá rušička. (smiech)

If you look closely at this device,

Keď sa na toto zariadenie pozrieme lepšie,

it's got a switch for encryption or cleartext.

nájdeme na ňom vypínač na šifrovanie.

Let me advance the slide, and now I'll go back.

Teraz sa pozrime na nasledujúcu snímku a naspäť na tú pôvodnú.

You see the difference?

Vidíte ten rozdiel?

This is plain text. This is encrypted.

Teraz je zapnutý otvorený režim a teraz šifrovaný.

There's one little dot that shows up on the screen,

Indikuje to malý preškrtnutý krúžok na obrazovke

and one little tiny turn of the switch.

a jeden malý prepínač,

ktorý donútil výskumníkov zamyslieť sa: „Zaujímalo by ma,

And so the researchers asked themselves, "I wonder how

many times very secure, important, sensitive conversations

koľkokrát prebehla konverzácia o bezpečnostných, dôležitých

a tajných veciach bez zašifrovania a bez toho,

are happening on these two-way radios where they forget

to encrypt and they don't notice that they didn't encrypt?"

aby si komunikujúci všimli, že šifrovací režim zabudli prepnúť.“

So they bought a scanner. These are perfectly legal

A tak si kúpili skener. Je legálny

and they run at the frequency of the P25,

a pracuje na rovnakej frekvencií ako vysielačky P25.

and what they did is they hopped around frequencies

Prechádzali ním po frekvenciách

and they wrote software to listen in.

a vytvorili softvér, ktorý vedel počúvať.

If they found encrypted communication, they stayed

Keď našli zašifrovanú komunikáciu, ostali na tom kanáli

on that channel and they wrote down, that's a channel

a zapísali si, že na tejto frekvencii

that these people communicate in,

komunikujú policajné orgány.

these law enforcement agencies,

Potom išli do 20 metropol

and they went to 20 metropolitan areas and listened in

a počúvali,

on conversations that were happening at those frequencies.

čo sa na tejto frekvencií deje.

They found that in every metropolitan area,

Zistili, že v každej metropolitnej oblasti

they would capture over 20 minutes a day

zachytili denne viac než 20 minút

of cleartext communication.

nezašifrovaného textu.

And what kind of things were people talking about?

Pýtate sa o čom boli tieto konverzácie?

Well, they found the names and information

Obsahovali mená a informácie

about confidential informants. They found information

o tajných informátoroch,

that was being recorded in wiretaps,

informácie, získané z odpočúvania,

a bunch of crimes that were being discussed,

diskusie o zločinoch

sensitive information.

a podobné dôverné informácie.

It was mostly law enforcement and criminal.

Týkali sa väčšinou policajných a kriminálnych jednotiek.

They went and reported this to the law enforcement

Po tom ako výsledky anonymizovali,

agencies, after anonymizing it,

oznámili ich na príslušnom policajnom orgáne.

and the vulnerability here is simply the user interface

Zraniteľným je v tomto prípade používateľské rozhranie,

wasn't good enough. If you're talking

ktoré nebolo dostatočne dobré.

about something really secure and sensitive, it should

Ak hovoríte o niečom prísne tajnom a dôvernom,

be really clear to you that this conversation is encrypted.

je jasné, že by mala byť takáto konverzácia šifrovaná.

That one's pretty easy to fix.

Ale dá sa to veľmi ľahko napraviť.

The last one I thought was really, really cool,

A posledná vec, ktorá je podľa mňa zaujímavá

and I just had to show it to you, it's probably not something

a chcem vám ju ukázať, nie je to ale niečo,

that you're going to lose sleep over

z čoho nebude môcť spávať

like the cars or the defibrillators,

ako z áut alebo defibrilátorov.

but it's stealing keystrokes.

Ide o sledovanie úderov na klávesnici.

Now, we've all looked at smartphones upside down.

Každý z nás už preskúmal smartfón zo všetkých uhlov.

Every security expert wants to hack a smartphone,

Každý expert na bezpečnosť chce hacknúť smartfón,

and we tend to look at the USB port, the GPS for tracking,

a preto sa zameriava na USB porty, fotoaparát,

the camera, the microphone, but no one up till this point

mikrofón či GPS, ale ešte nikto

had looked at the accelerometer.

sa nezameral na akcelerometer.

The accelerometer is the thing that determines

Akcelerometer je zariadenie,

the vertical orientation of the smartphone.

ktoré dokáže rozpoznať, ako je smartfón otočený.

And so they had a simple setup.

Urobili to celkom jednoducho.

They put a smartphone next to a keyboard,

Položili smartfón vedľa klávesnice,

and they had people type, and then their goal was

na ktorej niekto písal. Ich cieľom bolo zistiť,

to use the vibrations that were created by typing

čo osoba na klávesnici napísala pomocou vibrácií,

to measure the change in the accelerometer reading

ktoré vytvorilo klepanie do klávesnice.

Acelerometer mal na základe vibrácií zistiť, čo tá osoba napísala.

to determine what the person had been typing.

Now, when they tried this on an iPhone 3GS,

Najskôr to skúsili so smartfónom iPhone 3GS.

this is a graph of the perturbations that were created

Tu je graf odchýlok, ktoré vznikli pri klepaní do klávesnice.

by the typing, and you can see that it's very difficult

Sami vidíte, že je ťažké z neho vyčítať,

to tell when somebody was typing or what they were typing,

kedy a čo niekto písal.

but the iPhone 4 greatly improved the accelerometer,

Ale v smartfóne iPhone 4 akcelerometer podstatne zlepšili.

and so the same measurement

Toto je graf tých istých odchýlok.

produced this graph.

Na rozdiel od prvého,

Now that gave you a lot of information while someone

tento nám poskytuje veľa informácií,

was typing, and what they did then is used advanced

zatiaľ čo niekto píše na klávesnici. Výskumníci potom využili

artificial intelligence techniques called machine learning

pokročilú techniku umelej inteligencie nazývanú strojové učenie.

to have a training phase,

V tréningovej fáze

and so they got most likely grad students

písali prevažne študenti

to type in a whole lot of things, and to learn,

kopu rôznych vecí

to have the system use the machine learning tools that

a potom pomocou nástrojov strojového učenia,

were available to learn what it is that the people were typing

naučili systém rozpoznať, čo študenti písali

and to match that up

a následne priradiť k tomu odchýlky

with the measurements in the accelerometer.

namerané akcelerometrom.

And then there's the attack phase, where you get

Vo fáze útoku

somebody to type something in, you don't know what it was,

potom niekto ťukal do klávesnice,

but you use your model that you created

nikto iný nevedel, čo písal.

in the training phase to figure out what they were typing.

Zistil to ale model, ktorý vytvorili v tréningovej fáze.

They had pretty good success. This is an article from the USA Today.

Dosiahli s tým veľký úspech. Toto je článok z denníka USA Today.

They typed in, "The Illinois Supreme Court has ruled

„Illinoiský Najvyšší súd rozhodol, že Rahm Emanuel

that Rahm Emanuel is eligible to run for Mayor of Chicago"

je spôsobilý kandidovať na primátora mesta Chicago,“

— see, I tied it in to the last talk —

vidíte, spojil som to s predchádzajúcou prednáškou,

"and ordered him to stay on the ballot."

„a prikázal mu ostať vo voľbách.“

Now, the system is interesting, because it produced

Na systéme je zaujímave to, že rozpoznal

"Illinois Supreme" and then it wasn't sure.

„Illinoiský Najvyšší“, ale potom si nebol istý.

The model produced a bunch of options,

Model nám ponúkol mnoho možností

and this is the beauty of some of the A.I. techniques,

a presne v tomto spočíva krása umelej inteligencie.

is that computers are good at some things,

Počítače sú dobré v niektorých veciach, ľudia zas v iných.

humans are good at other things,

Vezmime kombináciu najlepšieho z oboch

take the best of both and let the humans solve this one.

a človek to vyrieši.

Don't waste computer cycles.

Neplytvajme energiou počítača.

A human's not going to think it's the Supreme might.

Človek vie, že to nebude „Najvyšší môcť“.

It's the Supreme Court, right?

Vieme, že je to „Najvyšší súd“.

And so, together we're able to reproduce typing

A takto spolu dokážeme reprodukovať písanie na klávesnici

simply by measuring the accelerometer.

pomocou odchýlok zistených akcelerometrom.

Why does this matter? Well, in the Android platform,

Prečo je to také dôležité? Napríklad v operačnom systéme Android

for example, the developers have a manifest

vytvorili vývojári zoznam zariadení,

where every device on there, the microphone, etc.,

napríklad mikrofón atď.

has to register if you're going to use it

Keď chcete tieto zariadenia využívať,

musíte sa zaregistrovať, aby ich hackeri nemohli napadnúť.

so that hackers can't take over it,

but nobody controls the accelerometer.

Nikto však nekontroluje akcelerometer.

So what's the point? You can leave your iPhone next to

Aké to má následky? Môžete jednoducho nechať váš iPhone

someone's keyboard, and just leave the room,

vedľa niečej klávesnice, opustiť miestnosť

and then later recover what they did,

a neskôr zistiť, čo tam robili,

even without using the microphone.

dokonca aj bez použitia mikrofónu.

If someone is able to put malware on your iPhone,

Ak sa niekomu podarí nainštalovať malvér do vášho iPhonu,

they could then maybe get the typing that you do

mohol by sa potom dostať ku všetkému, čo píšete na klávesnici,

whenever you put your iPhone next to your keyboard.

vždy keď si iPhone položíte vedľa nej.

There's several other notable attacks that unfortunately

Existuje ešte mnoho zaujímavých útokov,

I don't have time to go into, but the one that I wanted

ale mne už žiaľ neostáva čas sa do nich pustiť.

to point out was a group from the University of Michigan

Rád by som ale spomenul skupinu na Michiganskej univerzite,

which was able to take voting machines,

ktorej sa podarilo do hlasovacích strojov

the Sequoia AVC Edge DREs that

Sequoia AVC Edge DRE,

ktoré mali byť použité na voľbách v New Jersey,

were going to be used in New Jersey in the election

that were left in a hallway, and put Pac-Man on it.

zatiaľ čo boli odložené na chodbe,

So they ran the Pac-Man game.

nainštalovať hru Pac-Man.

Takže sa na nich hral Pac-Man.

What does this all mean?

Čo z tohto všetkého vyplýva?

Well, I think that society tends to adopt technology

Myslím si, že si spoločnosť osvojuje technológie veľmi rýchlo.

really quickly. I love the next coolest gadget.

Sme nadšení z každej najnovšej špičkovej hračky.

But it's very important, and these researchers are showing,

Ale je veľmi dôležité a títo výskumníci to potvrdzujú,

that the developers of these things

aby vývojári technológií brali bezpečnosť vážne

need to take security into account from the very beginning,

hneď od začiatku. Musia si uvedomiť,

and need to realize that they may have a threat model,

že hoci majú určitý model útoku,

but the attackers may not be nice enough

skutoční útočníci nemusia byť takí ohľaduplní

to limit themselves to that threat model,

a držať sa tohto modelu.

and so you need to think outside of the box.

Musia byť obozretní a myslieť nekonvenčne.

What we can do is be aware

A aj my si musíme uvedomiť,

that devices can be compromised,

že zariadenia môžu byť zneužité a všetko,

and anything that has software in it

čo má softvér je napadnuteľné,

is going to be vulnerable. It's going to have bugs.

lebo to bude mať programové chyby.

Thank you very much. (Applause)

Ďakujem veľmi pekne. (potlesk)