10-jarig hackermeisje onthult eerste zero-day
Een tienjarig meisje heeft tijdens de DefCon 19 hackerconferentie haar eerste zero-day exploit voor smartphone spellen onthuld. Het gaat om spellen voor zowel het Apple iOS besturingssysteem voor iPads en iPhones en Google Android. Titels wil het meisje, dat onder het alias "CyFi" schuil gaat, vanwege 'reasonable disclosure' niet noemen. Hierbij krijgen de ontwikkelaars eerst de kans het probleem op te lossen.
Naar eigen zeggen begon ze met het zoeken naar de exploits omdat de snelheid in "farm-achtige" games haar verveelde. "Het was lastig om vooruitgang in het spel te boeken, omdat het zolang duurde voordat dingen groeiden." Het hackermeisje vroeg zich daarom af, of ze de tijd niet kon aanpassen.
Presentatie
Het groeien van mais kan bijvoorbeeld tien echte uren duren. Door de klok van de smartphone of tablet aan te passen, is het mogelijk om het groeiproces te versnellen. Veel van deze "farmgames" proberen dit soort manipulatie te detecteren, maar CyFi zegt een manier gevonden te hebben om de detectie te omzeilen. Daarbij gaat het om een nieuw soort beveiligingslekken, die ze "TimeTraveler" noemt.
Het hackermeisje gaf een presentatie tijdens DefCon Kids, een speciaal onderdeel voor kinderen dat tijdens de hackerconferentie plaatsvond. Tijdens het evenement was er een 70 euro beloning voor de jonge hacker die de meeste lekken in aantal games vond.
Ze heeft deze bug in smartphones gevonden. Naar mijn weten draait de Minecraft client daar niet op.
Komt doordat de delta timing afhankelijk is van de computer klok, in plaats van een interne timer...
http://gafferongames.com/game-physics/fix-your-timestep/
Ze doet het nu nog zoals het hoort met: 'reasonable disclosure'.
Maar wat gaat ze doen als ze te weinig zakgeld krijgt? Of later wanneer de verlokkingen van het grote geld gaan opspelen? Verkopen aan de hoogst biedende?
Dus een zero-day is geen zero-day als het "truukje" al bekend is? Waarom zijn er dan regelmatig zero-day's die een buffer overflow gebruiken? Dat truukje is toch ook al "oud"?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
