| Black Hat USA 2014已于8月2-7日在拉斯维加斯举行，会议汇聚了大量的全球知名安全专家。Black
Hat安全技术大会是世界上最能够了解未来安全趋势的信息峰会，每届会议都可以称得上安全解决方案提供商前行的指引。本年度重点关注的安全领域又有什么不
同？一年一度的黑客奥斯卡奖项又花落谁家，这里一起盘点。 以下为译文：
作为业内知名的信息安全会议，Black Hat 2014为各类解决方案提供商定义了一个明确的方向。 资深安全专家，Beyond Trust CTO Marc Maiffret指出，新兴技术一般是安全研究员关注的重点，会议上，大量利用新服务（或产品）漏洞窃取资源或进行其他危险攻击的途径被揭发，产业因此可以尽早的进行调整。本文着重盘点第十八届Black Hat上被揭露的安全漏洞，其中十个足以改变当下安全解决方案提供商的产品布局，并产生深远影响。 1. 数据库安全隐患——历时长久的攻防战
David Litchfield，一位英国的安全研究员，知名于揭露Oracle、微软等公司RDBMS软件中的巨大漏洞和结构缺陷。在Black Hat 2014上，David展示了Oracle旗舰数据库管理系统中存在的新漏洞。 该漏洞基于Oracle新版数据库12c中大肆宣扬的功能“数据校订（data redaction）”，这个功能被设计用于保护敏感数据。演讲中，David表示数据校订功能内含有大量安全漏洞，攻击者可以利用这些漏洞来绕过安全特 性，并查看社会保险号、信用卡号等敏感信息。David表示，除下虚假的安全感，这个功能对企业没有任何帮助。 2. 云安全隐患——影响的不只是可用性
阿根廷顾问公司Bonsai Information Security创始人Andres Riancho通过详细研究指出，配置错误和基本漏洞都可能泄露托管于云上的应用程序数据、账户凭证等信息。Andres演示了AWS云基础设施可能被利 用访问账户凭证、日志文件，并最终窃取用户账号。他还开发了一个专门的工具，这个工具可以自动浏览元数据，为攻击者访问敏感资源提供重要线索。他提倡安全 专家与开发者共同审视当下的架构，及做好未来项目使用IaaS资源时的准备。 3. 医疗设备隐患——需要重点对待的领域
随着微型、强大的嵌入式系统投入到胰岛素泵、心脏起搏器等医疗设备，这个领域的安全就必须得到重点关注，因为这些设备越来越多的连接到互联网，在Black Hat 2014上漏洞管理厂商Rapid7研究员Jay Radcliffe指出。 Jay认为，漏洞可能被用于针对高风险个体，如政治领袖等。Jay专注于医疗设备安全，并成功黑了自己的胰岛素泵。Jay认为，这些设备面对一个非常普遍的问题——安全软件更新，因此无法更好地防御数据泄露。 4. POS系统隐患——Chip-And-PIN漏洞
Crowdome安全研究员兼NCR Retail企业安全架构师Nir Valtman表示，零售终端系统正面临内存搜读（memory-scraping）恶意软件的威胁，他表示可以在当下POS系统上运行的内存搜读恶意软 件已非常普遍，其中更有许多已在大量目标数据窃取行动中得以验证，这些软件涉及身份认证、信息检索等多个功能。Nir研究过市面上大多数的付费安全系统， 致力降低它们对系统性能的影响，他表示，取代只从技术方面着手，为零售商提供更多的信息服务同样重要。 期间，在另一个Black Hat会话上，剑桥大学密码学专家Ross Anderson表示，美国零售商最终将全部使用Chip-And-PIN，但是这项技术同样拥有漏洞和局限性。 |
