Samy Kamkar
De Wikipedia, la enciclopedia libre
Saltar a navegación Saltar a búsqueda
Para el apellido Kamkar, vea Kamkar .
Samy Kamkar
Samy Kamkar.jpg
Kamkar hablando en la conferencia Black Hat en 2010
Nació (1985-12-10) 10 de diciembre de 1985 (35 años)
Nacionalidadamericano
OcupaciónInvestigador de privacidad y seguridad, pirata informático , denunciante y emprendedor
Conocido porAl soltar el gusano Samy , Evercookie , SkyJack , y el iPhone, Android y Windows Mobile seguimiento de teléfono investigación
Sitio websamy .pl

Samy Kamkar (nacido el 10 de diciembre de 1985) [1] es un investigador de privacidad y seguridad, pirata informático y empresario estadounidense . A los 16 años abandonó la escuela secundaria. [2] Un año después, cofundó Fonality , una empresa de comunicaciones unificadas basada en software de código abierto, que recaudó más de $ 46 millones en fondos privados. [3] En 2005, creó y liberó el virus de propagación más rápido de todos los tiempos, [4] el gusano Samy de MySpace , y posteriormente fue allanado por el Servicio Secreto de los Estados Unidos en virtud de la Ley Patriota .[5] También creó SkyJack , un dron personalizado que piratea cualquier dron Parrot cercanopermitiéndoles ser controlados por su operador [6] y creó el Evercookie , que apareció en undocumentoultrasecreto de la NSA [7] revelado por Edward Snowden. y en la portada de The New York Times . [8] También ha trabajado con The Wall Street Journal y descubrió el rastreo ilícito de teléfonos móviles donde el iPhone de Apple, Google Android y Microsoft Windows Phonelos dispositivos móviles transmiten información de GPS y Wi-Fi a sus empresas matrices. Su investigación móvil condujo a una serie de demandas colectivas contra las empresas y una audiencia de privacidad en Capitol Hill. [9] Kamkar tiene un capítulo que da consejos en el libro Tools of Titans de Tim Ferriss .

Trabaja

Gusano Samy

Artículo principal: Samy (gusano informático)

En 2005, Kamkar lanzó el gusano Samy , el primer gusano de secuencias de comandos de sitios cruzados autopropagado públicamente, en MySpace . [10] El gusano llevaba una carga útil que mostraría la cadena "pero sobre todo, Samy es mi héroe" en el perfil de una víctima y provocaría que la víctima, sin saberlo, enviara una solicitud de amistad a Kamkar. Cuando un usuario vio ese perfil, tendría la carga útil plantada en su página. En tan solo 20 horas [11] de su lanzamiento del 4 de octubre de 2005, más de un millón de usuarios habían ejecutado la carga útil, [12] convirtiéndolo en el virus de más rápida propagación de todos los tiempos. [4] El equipo de MySpace cerró temporalmente MySpace para solucionar el problema que permitía que el gusano funcionara.

En 2006, Kamkar fue allanada por el Servicio Secreto de los Estados Unidos y el Grupo de Trabajo sobre Delitos Electrónicos, ampliado de la Ley Patriota , por liberar al gusano. [5] Después de ser presentado con un acuerdo de culpabilidad sin tiempo en prisión, pero pagando una multa de $ 20,000 USD, cumpliendo tres años de libertad condicional, trabajando 720 horas de servicio comunitario, Kamkar se declaró culpable de un delito grave de piratería informática en Los Ángeles Superior. Corte. [13] También según el acuerdo antes mencionado, a Kamkar se le permitió mantener una sola computadora sin conexión a la red, pero se le prohibió explícitamente cualquier acceso a Internet durante su sentencia. [14]Desde 2008, Kamkar ha realizado investigaciones y consultorías independientes sobre seguridad y privacidad de las computadoras. [15]

Obras destacadas

En 2008, después de que se levantara la restricción de Kamkar para las computadoras, demostró debilidades en las tarjetas de crédito Visa, MasterCard y Europay con chips de comunicación de campo cercano (NFC) e identificación por radiofrecuencia (RFID) integrados y lanzó un software que demuestra la capacidad de robar tarjetas de crédito. información, incluido el nombre, el número de la tarjeta de crédito y la fecha de vencimiento, de forma inalámbrica desde estas tarjetas. [16] [17] También publicó un código que demuestra el robo de identidad inalámbrica de las tarjetas de control de acceso físico , incluida la de las tarjetas HID Global , utilizando RFID.con el uso de solo un dispositivo del tamaño de una tarjeta de crédito, eliminando la necesidad de que cualquier computadora esté conectada. [18] [19]

En 2010, Kamkar viajó a más de una docena de países para hablar sobre su investigación de seguridad móvil y las debilidades que descubrió en su criptoanálisis del lenguaje de programación PHP , incluso hablando en algunas de las convenciones anuales de hackers más grandes del mundo, como DEF CON , Black Hat. Sesiones informativas y ToorCon . [20] [21] [22]

A fines de 2010, Kamkar viajó a Bratislava para asistir al Faraday Hack Day para ayudar a exponer la corrupción política y corporativa dentro del gobierno de Eslovaquia . [23]

A principios de 2011, Kamkar se unió a la Junta Directiva de Brave New Software , [24] una organización sin fines de lucro originalmente financiada por una subvención multimillonaria del Departamento de Estado de EE . UU . [25] La organización sin fines de lucro es responsable de crear uProxy con la Universidad de Washington y Google Ideas , una extensión del navegador destinada a permitir que los usuarios en regímenes represivos accedan a Internet sin ser monitoreados. La organización sin fines de lucro también creó Lantern , una red diseñada para eludir la censura de Internet y derrotar la supresión de la información digital y la libertad de expresión. [26]

Además de lanzar Evercookie como software gratuito y de código abierto, y exponer la recopilación subrepticia de datos de Apple, Google y Microsoft, [27] en 2011 Kamkar también expuso KISSmetrics, una red de publicidad en línea y Hulu como recreación de cookies de seguimiento después de los consumidores. los eliminó almacenando los identificadores de seguimiento únicos en las cookies Flash y el almacenamiento local HTML5 , que no se eliminaron automáticamente cuando los consumidores borraron las cookies de su navegador. [28] [29] Varias empresas identificadas como responsables de la reaparición de cookies fueron posteriormente demandadas por abogados de demanda colectiva. En enero de 2013, KISSmetrics resolvió su demanda relacionada con la reaparición de cookies por $ 500,000. [30]

Defecto en PHP

A principios de 2010, Kamkar descubrió una falla importante en todas las versiones del lenguaje de programación PHP , específicamente en el generador de números pseudoaleatorios , que permitía a un atacante secuestrar el ID de sesión de un usuario y hacerse cargo de su sesión. [31] Kamkar lanzó un parche [32] y, una vez reparado, lanzó un código de explotación que demostraba que el ataque era posible en los principales bancos, redes sociales y foros. [33] [34] [35]

Evercookie

Artículo principal: Evercookie

En 2010, Kamkar lanzó Evercookie , una cookie que "aparentemente no se puede eliminar", que posteriormente se documentó en la portada de The New York Times . [8] [36] [37] En 2013, un alto secreto NSA documento se filtró [7] por Edward Snowden citando Evercookie como un método de seguimiento de Tor usuarios.

Investigación móvil

Artículo principal: seguimiento de teléfonos móviles

En 2011, Kamkar descubrió los dispositivos del teléfono móvil iPhone, Android y Windows estaban enviando continuamente coordenadas GPS, en correlación con las direcciones de conexión Wi-Fi MAC, de vuelta a Apple, Google y Microsoft respectivamente, y lanzó su investigación a través de la página frontal varias The Wall Street Journal artículos . [27] [38] [39] El iPhone continuaría enviando datos de ubicación "incluso cuando los servicios de ubicación estuvieran desactivados". [38] El Windows Phone también continuaría enviando datos de ubicación "incluso cuando el usuario no le haya dado permiso a la aplicación para hacerlo". Descubrió que algunos de estos datos fueron expuestos por Google y lanzó Androidmap, una herramienta que expone la base de datos de Google de direcciones MAC de Wi-Fi correlacionadas con las coordenadas físicas pobladas por los teléfonos Android. [40]

Investigación de Parrot AR Drone

Artículo principal: SkyJack

En 2013, Kamkar creó SkyJack , una combinación de software y hardware de código abierto para ejecutarse en un vehículo aéreo no tripulado que fue "diseñado para buscar, piratear y apoderarse de forma inalámbrica de otros drones Parrot a una distancia wifi, creando un ejército de drones zombis". ". [6] [41] Toda la especificación de software y hardware se publicó como código abierto y se detalla en su sitio web. [41] [42] El software se lanzó un día después de que Amazon.com anunciara Amazon Prime Air , un posible servicio de entrega futuro que utiliza drones para entregar paquetes pequeños ya en 2015. [43]

Investigación de seguridad automotriz

El 30 de julio de 2015, Kamkar presentó OwnStar, un pequeño dispositivo electrónico que podría ocultarse en o cerca de un vehículo de General Motors para interponerse entre el enlace OnStar del vehículo y la aplicación OnStar RemoteLink del conductor . En este clásico ataque de hombre en el medio , Kamkar, o cualquier usuario no autorizado, podría sustituir sus comandos de OnStar para localizar, desbloquear o arrancar el vehículo. Para el 11 de agosto, General Motors había lanzado actualizaciones al software del servidor OnStar y a la aplicación RemoteLink para bloquear tales ataques. [44]

En 2015, se informó que Kamkar había construido un dispositivo electrónico económico del tamaño de una billetera que podía ocultarse en o cerca de un vehículo cerrado para capturar un código de entrada sin llave que se usaría más adelante para desbloquear el vehículo. El dispositivo transmite una señal de interferencia para bloquear la recepción del vehículo de las señales de código variable desde el llavero del propietario, mientras registra estas señales de sus dos intentos necesarios para desbloquear el vehículo. El primer código grabado se envía al vehículo solo cuando el propietario hace el segundo intento, mientras que el segundo código grabado se conserva para uso futuro. Kamkar afirmó que desde hace años se sabía que esta vulnerabilidad estaba presente en muchos tipos de vehículos, pero que anteriormente no se había demostrado. [45] Se anunció una manifestación para DEF CON 23. [46]

Dispositivo de emulación de banda magnética y tarjeta de crédito

El 24 de noviembre de 2015, Samy Kamkar lanzó MagSpoof; [47] un dispositivo portátil que puede falsificar / emular cualquier banda magnética o tarjeta de crédito "de forma inalámbrica", incluso en lectores de banda magnética estándar al generar un fuerte campo electromagnético que emula una tarjeta de banda magnética tradicional.

En sus propias palabras, MagSpoof puede usarse como una tarjeta de crédito tradicional y simplemente almacenar todas sus tarjetas de crédito (y con modificaciones, puede deshabilitar técnicamente los requisitos de chip) en varios factores de forma, o puede usarse para investigación de seguridad en cualquier área que lo requiera. tradicionalmente requieren una banda magnética, como lectores de tarjetas de crédito, licencias de conducir, llaves de habitaciones de hotel, boletos de estacionamiento automáticos, etc.

Secuestro de tráfico de Internet

El 16 de noviembre de 2016, Samy Kamkar lanzó PoisonTap; [48] un emulador de Ethernet USB que se puede utilizar para secuestrar todo el tráfico de Internet en una máquina de destino, incluso si la computadora estaba protegida con contraseña y bloqueada.

Un dispositivo con puerta trasera puede ser forzado de forma remota a realizar una solicitud con las cookies de su usuario en sitios web HTTP (no seguros) que no tienen indicadores de seguridad, lo que significa que el atacante puede hacerse pasar por un usuario local de forma remota.

Referencias

  1. ^ "Twitter / samykamkar" . Twitter .
  2. ^ "Samy Kamkar tiene una prohibición de computadora de 3 años ahora es un héroe hacker" . Fusion (canal de televisión) . 28 de septiembre de 2015 . Consultado el 28 de septiembre de 2015 .
  3. ^ "Código abierto - Fonality" . Intel .
  4. ↑ a b Jeremiah Grossman (abril de 2006). "Gusanos y virus de secuencias de comandos cruzadas: el hilo inminente y la mejor defensa" (PDF) . Seguridad de Whitehat. Archivado desde el original (PDF) el 4 de enero de 2011.
  5. ^ a b "[Owasp-losangeles] OWASP LA" . Consultado el 25 de diciembre de 2015 .
  6. ↑ a b Goodin, Dan (8 de diciembre de 2013). "El artilugio hacker volador caza otros drones, los convierte en zombies" . Ars Technica .
  7. ^ a b " Presentación de ' Tor apesta'" . The Guardian .
  8. ^ a b "El nuevo código web genera preocupación sobre los riesgos de privacidad" . The New York Times . 10 de octubre de 2010 . Consultado el 19 de mayo de 2011 .
  9. ^ "Google y Apple en Capitol Hill para audiencia de privacidad de alta tecnología" . CNN .
  10. ^ "Gusano Cross-Site Scripting golpea MySpace" . Betanews . 13 de octubre de 2005.
  11. ^ "Explicación del gusano MySpace" . Archivado desde el original el 24 de septiembre de 2015 . Consultado el 25 de diciembre de 2015 .
  12. ^ "Gusano Cross-Site Scripting inunda MySpace" . Slashdot .
  13. ^ "MySpace habla sobre la sentencia de Samy Kamkar" . TechSpot . Consultado el 15 de julio de 2017 .
  14. ^ "Momentos más grandes en la historia de la piratería: Samy Kamkar toma Myspace" . Vice-videos . Consultado el 15 de julio de 2017 .
  15. ^ "Datos de fondo" . El Wall Street Journal . 22 de abril de 2011.
  16. ^ "cap.py" .
  17. ^ "Documentación de RFIDiot" .
  18. ^ "SpiderLabs - Entrar con el Proxmark3" .
  19. ^ "Código Proxmark3" .
  20. ^ "Samy Kamkar habla" . Consultado el 28 de abril de 2013 .
  21. ^ "DEF CON 18 Altavoces" . Consultado el 28 de abril de 2013 .
  22. ^ "Oradores de Black Hat USA 2010" . Consultado el 28 de abril de 2013 .
  23. ^ "Día de Faraday Hack" . Consultado el 28 de abril de 2013 .
  24. ^ "Software nuevo valiente" .
  25. ^ "Software nuevo valiente" .
  26. ^ "Linterna" .
  27. ^ a b "Apple, Google recopila datos de usuario" . El Wall Street Journal . 22 de abril de 2011 . Consultado el 19 de mayo de 2011 .
  28. ^ "Respawn Redux por Ashkan Soltani" . 11 de agosto de 2011.
  29. ^ "Investigación de Samy Kamkar KISSmetrics" (PDF) .
  30. ↑ Davis, Wendy (23 de enero de 2013). "KISSmetrics finaliza el acuerdo de supercookies" . MediaPost Nuevo . Consultado el 18 de enero de 2013 .
  31. ^ "PHP se equivoca con números aleatorios" .
  32. ^ "Anuncio de lanzamiento de PHP 5.3.2" .
  33. ^ Baldoni, Roberto ; Chockler, Gregory (2012). Protección colaborativa de la infraestructura financiera .
  34. ^ "Ataque a sesiones PHP y números aleatorios" .
  35. ^ "Aviso: RNG débil en la generación de ID de sesión de PHP conduce a secuestro de sesión" .
  36. ^ " ' Evercookie' es una galleta que no quieres morder" . MSNBC . 22 de septiembre de 2010. Archivado desde el original el 24 de septiembre de 2010 . Consultado el 19 de mayo de 2011 .
  37. ^ "Preguntas y respuestas: creador de Evercookie Samy Kamkar" .
  38. ^ a b "Jobs intenta calmar el iPhone Imbroglio" . El Wall Street Journal . 28 de abril de 2011 . Consultado el 19 de mayo de 2011 .
  39. ^ "Microsoft recopila datos de ubicación del teléfono sin permiso" . Redes CNET . 2 de septiembre de 2011 . Consultado el 19 de mayo de 2011 .
  40. ^ "La base de datos Wi-Fi de Google puede conocer la ubicación física de su enrutador" . Huffington Post . 25 de abril de 2011 . Consultado el 19 de mayo de 2011 .
  41. ^ a b "Samy Kamkar - SkyJack" .
  42. ^ "Código fuente de SkyJack" . 2013-12-08 . Consultado el 8 de diciembre de 2013 .
  43. ^ Extraño, Adario. "Amazon presenta drones de reparto voladores en '60 minutos ' " . Mashable . Consultado el 1 de diciembre de 2013 .
  44. ↑ Woodcock, Glen (11 de agosto de 2015). "OnStar Plugs Hacker Attacks" . Autonet . Consultado el 11 de agosto de 2015 .
  45. ↑ Thompson, Cadie (6 de agosto de 2015). "Un hacker fabricó un dispositivo de $ 30 que puede desbloquear muchos autos que tienen acceso sin llave" . Tech Insider . Consultado el 11 de agosto de 2015 .
  46. ↑ Kamkar, Samy (7 de agosto de 2015). "Conduce como si lo hubieras pirateado: nuevos ataques y herramientas para robar coches de forma inalámbrica" . DEF CON 23 . Consultado el 11 de agosto de 2015 .
  47. ^ "samyk / magspoof" . GitHub . Consultado el 25 de diciembre de 2015 .
  48. ^ "samyk / poisontap" . GitHub . Consultado el 16 de noviembre de 2016 .

enlaces externos

  • Página web oficial
Obtenido de " https://en.wikipedia.org/w/index.php?title=Samy_Kamkar&oldid=1044386788 "
Contribute a better translation