11
美國當地時間8月8日，兩大世界頂級信息安全會議BlackHat和DEFCON將在美國拉斯維加斯正式揭幕。來自全球的數萬名白帽黑客、安全廠商、高校學者、政府機構等安全從業人員齊聚，高度關注這兩場盛會將來帶來怎樣的前沿技術饕餮盛宴，阿里安全八大實驗室多名安全專家受邀參會，帶來的三大議題和兩項演示備受矚目。
據悉，BlackHat和DEFCON由傳奇人物Jeff Moss分別於1997年和1993年創辦，不過從2014年開始纔有中國白帽受邀演講的身影。阿里安全自2015年至今已數次參加兩大頂會，曾有議題被大會主席譽爲“印象最深刻的演講”。
2018年更是阿里安全大爆發之年，BlackHat的亞洲和歐洲會議已有多名安全專家議題入選，此次共有六名安全專家受邀參會，“議題演講+現場演示”的數量佔到中國互聯網公司整體參會數量的五分之一，以自身能力向世界展示中國安全行業越來越強大的實力。
22
用技術攻擊呼籲版權保護
BlackHat作爲全球知名頂會，議題審覈嚴苛爲業內公認，每年上報的議題最終通過率不足20%，而BlackHat USA更是頂會中的頂會，入選議題含金量最高。
阿里安全獵戶座實驗室安全專家五達從2015年至今已三次在BlackHat演講，其中2017-2018年兩次“中標”BlackHat USA的演講議題。與往年專注物聯網安全漏洞的方向不同，五達今年的演講議題創新性地解決了視頻水印疊加這一用戶痛點。
近年來，視頻直播服務在中國越來越熱，各家服務提供商爲了保證自己的權益，紛紛在用戶的原創內容上加上可見水印，有的視頻在服務商之間多次轉載，上面甚至會被蓋上兩三個水印。
水印毫無美感，且佔屏幕比例越來越大，讓原創視頻作者和觀看視頻的用戶苦不堪言，五達通過技術手段解決了這一問題。“原創視頻作者可以在自己的視頻流中，預置一個反向水印，抵消服務提供商的水印，”五達表示，目前已經在一家納斯達克上市的視頻提供商的線上系統做了原理驗證，可以實現近乎100%的水印主動消除。
“阿里安全獵戶座及雙子座實驗室在版權保護方面，也有很多的技術積累與成果。這個研究的目標是希望廣大視頻廠商一道攜起手來，早日拋棄這種粗暴的、以犧牲用戶體驗爲代價的方式，使用現代化的版權保護手段。”五達將在北京時間10日凌晨三點的BlackHat現場，通過50分鐘的演講分享技術細節和安全解決方案。
33
揭祕全新漏洞：一分鐘越獄iOS 11.4
作爲全球參會人數最多的白帽黑客頂會，DEFCON的演講含金量也極高。已數次參加DEFCON等頂會演講，阿里安全獵戶座實驗室安全專家蒸米要和搭檔白虯兩次登臺演講，分享他們在蘋果系統研究上的突破：在iOS 11.4上展示兩個全新的沙箱逃逸0day漏洞利用、一款mac OS上靜態分析以及動態fuzz的工具。
近年來，蘋果在macOS和iOS的防護中都引入沙盒，並採用白名單的方式，只允許蘋果信任的安全接口接入，這意味着，如果能夠突破沙盒，則可以打開更多攻擊內核的接口。蒸米表示，將在演講中展示如何在穩定性極高的前提下，獲取系統服務的控制權限，可實現一分鐘越獄iOS 11.4。
在發現這些漏洞的安全風險後，如何解決？白虯的議題將明確指出，通過一款全新的靜態分析工具和動態fuzz系統，可自動化處理、簡化安全分析過程，迅速發現這些安全漏洞，並呈現漏洞危害，分析漏洞形成原理、利用方法、防禦手段。
專注iOS和mac OS安全研究，蒸米和白虯已多次向蘋果提交漏洞，獲官方數次致謝，“這次中稿之後，已於6月提交漏洞報告，獲得蘋果致謝”。兩人博士畢業，先後進入阿里安全，搭檔不足一年已建樹頗多。
除了議題演講，兩項演示也同樣引人關注。作爲阿里安全八大實驗室之一，螞蟻金服光年實驗室安全工程師周宇、高級安全專家曲和將在BlackHat Arsenal“軍械庫”，演示針對VxWorks系統的高級模糊測試框架ChangWei，利用該框架可高效地發現系統本身和開發者代碼中的潛在漏洞。
螞蟻金服光年實驗室高級安全工程師周智將在DEFCON DemoLab（演示實驗室）演示一款專門爲iOS 平臺應用做安全測試和動態分析的工具Passionfruit，幫助開發者和安全研究人員方便快捷地對 iOS 應用暴露的攻擊面進行測試分析，提升iOS應用的安全性。