Download pdf - Hacking Físico: Vulnerando entornos, evadiendo sensores... ¿Misión Imposible?

Hacking Físico: Vulnerando entornos, evadiendo

sensores... ¿Misión Imposible?

Eduardo Arriols, Roberto Lopez, Tomás Isasia

X Congreso Nacional 2

Eduardo Arriols Nuñez

Senior Penetration Tester

Anteriormente responsable de equipo Red Team

Co-Fundador de HighSec y RedTeaming.es

Ponente en congresos de seguridad

Profesor titular en la Universidad U-tad, asi como en

diferentes cursos de seguridad y hacking ético

Diversas certificaciones: CEH, CHFI, ECSA, otras


Roberto Lopez Santoyo

Consultor de seguridad IT (Pentester)

Responsable de equipo Red Team

Co-Fundador de HighSec y RedTeaming.es

Profesor en diferentes cursos de seguridad y hacking

ético en la Universidad Autónoma de Madrid

Diversas certificaciones: CEH, CHFI, otras

insert photo


Tomas Isasia Infante

Padre, emprendedor, empresario, innovador, experto en

consultoría tecnológica, jugador de golf ocasional, chef

familiar y divulgador de seguridad IT.

Profesional polifacético con amplia experiencia en la

gestión de TIC .

Titulado en Ingeniería Técnica Informática por ICAI y

UPM.

Directivo en diferentes empresas (Dictamed I and I,

TiiZss) y colabora con THIBER.

insert photo


Necesidad actual

Las evaluaciones de seguridad actuales

son limitadas y focalizadas en un ámbito

de actuación. Esto impide una evaluación

realista y por lo tanto una falsa sensación

de seguridad.


Indice

1. Sensores personales

3. Seguridad física

2. Amenazas en IoT


Indice



2. Amenazas IoT


Smart-Devices: Sensores en el ámbito personal


Sensores en el ámbito personal

¿Nos engañan a estos dispositivos?



40 minutos montando en bicicleta después…



¿Es posible hacer ejercicio desde el sofa y engañar a

estos dispositivos?









¿Es posible comprometer la red corporativa a través de a

estos dispositivos?


Como llegamos


Como llegamos

Entorno personal


Como llegamos

Entorno personal

Entorno corporativo


Como llegamos

Entorno personal

Entorno corporativo



'10-second' theoretical hack could jog Fitbits into

malware-spreading mode

http://www.theregister.co.uk/2015/10/21/fitbit_hack/

https://www.youtube.com/watc

h?v=qa8qVAPPlTE

¿Se tarda mucho tiempo en comprometer el dispositivo?

http://www.theregister.co.uk/2015/10/21/fitbit_hack/

https://www.youtube.com/watch?v=qa8qVAPPlTE




Indice



2. Amenazas en IoT


¿Y si todo estuviese conectado?


Internet of Things (IoT)


IoT y la Seguridad CiberFísica

Un Sistema ciberfísico es es un sistema colaborativo de elementos

computacinales que controlan entidades físicas, también llamada la

Industria 4.0


Amenazas en IoT

• Vulnerabilidades

• Configuraciones por Defecto

• Ingeniería Social


Amenazas en IoT





Amenazas en IoT





Amenazas en IoT



• Ingeniería Social• Tailgating

• Shoulder Surfing

• Dumpster Diving

http://www.csoonline.com/article/2123810/identity-theft-prevention/a-real-

dumpster-dive--bank-tosses-personal-data--checks--laptops.html


Indice



2. Amenazas en IoT


El mercado de la seguridad física estaba valorada en 48 billones de

dólares en 2012 y está estimado que llegue a los 125 billones en 2019http://www.transparencymarketresearch.com/physical‐security‐market.html

Seguridad Física


Evaluación de seguridad física… ¿Porque?

No importa que medidas de seguridad

se encuentren implementadas en el

ámbito digital (Firewall, IDS, etc.),

cuando el acceso físico es posible!


Evaluación de seguridad física… ¿Porque?

No importa que medidas de seguridad

se encuentren implementadas en el

ámbito digital (Firewall, IDS, etc.),

cuando el acceso físico es posible!


Demos


Evasion de control de acceso físico (RFID – NFC)


Evasion de sensores de movimiento


Evasion de sensores magneticos


Evasion de sensores fotoelectricos


Otros tipos de medidas de seguridad…


Solución…

Realizar comprobaciones de seguridad en los

diferentes ámbitos de actuación de manera combinada.

APT


RedTeaming.es

APT

Un proyecto que tiene por objetivo

difundir, fomentar y trabajar sobre

el concepto de Red Team,

pensamiento lateral y nuevos

modelos para la realización de

ejercicios de intrusión avanzada

http://redteaming.es/

http://redteaming.es/

Tomás [email protected]

www.tiizss.es

@tisasia

Eduardo [email protected]

www.redteaming.es

@_hykeos

Roberto [email protected]

www.redteaming.es

@leurian

http://www.highsec.es/

