2015年回顾 - Trail of Bits博客

随着新年的到来，我们可以回顾并评估2015年。过去一年，Trail of Bits继续了我们之前的工作，如自动化漏洞发现和修复，并拓展到新领域，如安全自托管视频聊天。我们还增加了社区外展活动：我们反对反应性监管，支持安全相关的非营利组织，在纽约市举办双月安全聚会等。以下是我们帮助改善2015年安全和隐私状况的一些方式。

参与DARPA网络大挑战

在24小时内，无需人工干预，查找并修补131个故意构建的不安全程序中的漏洞。这是我们参加网络推理系统（CRS）的挑战。尽管修补性能存在一些问题，但我们为结果感到非常自豪；我们的系统在65个程序中识别出漏洞，并重写了94个程序以消除错误。在未来一年，我们将专注于调整CRS，以自动查找和修补真实软件中的漏洞。

“未来信息安全运营将主要是算法化的。参见@trailofbits关于CGC的详细说明 http://t.co/5MsNzsmEqZ Gibson的ICE成真。” — iarce (@4Dgifts) 2015年7月17日

“Prabhakar：赞扬http://t.co/leRWsyaJg5参赛者（如纽约市的@trailofbits）的辛勤工作，以及他们的工作如何协助DARPA #CSMResearch” — geminiimatt / mateo (@geminiimatt) 2015年10月8日

反对反应性监管

尽管如今的网络攻击令人担忧，但我们发现草率的政府监管同样令人不安。一些提议的瓦森纳协定扩展会阻碍美国网络安全行业。这就是为什么我们立即支持负责任网络安全联盟的使命，确保美国出口管制法规不会对美国网络安全效力产生负面影响。参见我们对工业与标准局的评论。

为网络安全意识周（CSAW）做出贡献

CSAW在我们心中占有特殊地位。我们团队的许多成员，从创始人到最新招聘的员工，都在过去几年的挑战中磨练了技能。今年，我们为资格赛贡献了五个CTF挑战：wyvern、bricks of gold、sharpturn、punchout和“抛开数学，我们现在都是黑帽”。（对于愿意发布有用总结的团队，我们分发了一些时尚的Trail of Bits服装。）最后，我们帮助制定了政策竞赛，挑战参与者探索国家漏洞赏金的可能性。

为mcsema添加64位支持

Trail of Bits的mcsema是一个开源框架，用于将x86和现在的x86-64二进制文件翻译成LLVM位码。它使现有的基于LLVM的程序分析工具能够操作仅二进制软件。当我们开源mcsema时，我们希望社区能提供修复、高质量贡献和错误报告。当我们收到支持x86-64二进制翻译的开源贡献时，我们的希望实现了。许多现代应用程序为x86-64等64位架构编译；现在mcsema可以开始翻译它们。我们希望在新的一年看到更多贡献。

“mcsema已添加64位支持。感谢Akshay Kumar！https://t.co/af33Z2zVBw” — Trail of Bits (@trailofbits) 2015年7月9日

启动双月聚会，Empire Hacking

我们创建Empire Hacking，作为安全研究社区聚集在一起自由分享想法和讨论安全研究最新发展的空间。Empire Hacking每两个月在纽约市举行一次，并设有关于计算机安全当前主题的演讲。我们一直在寻找演讲者（这是获得反馈和提炼想法的好方法）。欢迎所有人，甚至记者参加。Empire Hacking是免费活动。如果您想参加，请在我们的meetup.com页面上申请。

“喜欢这个关于OS X恶意软件的快速演讲！有帮助且Jay Little = 搞笑！launchd我的新朋友。@empirehacking pic.twitter.com/hpKsDtSmRf” — geminiimatt / mateo (@geminiimatt) 2015年8月12日

发布首个保护Google Apps指南

超过五百万家公司依赖Google Apps运行其关键业务功能，如电子邮件、文档存储、日历和聊天。在OPM事件之后，我们分享了我们的顶级建议，帮助小企业在付出最小努力的同时避免最严重的安全问题。这些是每个使用Google Apps的小企业都应遵循的基本实践。

“关于在组织中强化Google Apps的精彩博客文章。http://t.co/kBcIJoKxu4 via @trailofbits” — Chad Loder (@chadloder) 2015年7月15日

培训Ruby开发者

当在Ruby的功能和常见用法中发现漏洞时，互联网上广阔且有利可图的部分暴露给攻击者。虽然几乎所有大型、经过测试和信任的开源Ruby项目都包含其中一些漏洞，但很少有开发者意识到风险。因此，我们发布了RubySec现场指南。

“嘿#Ruby开发者 – 帮自己一个忙，查看@trailofbits RubySec现场指南 http://t.co/EBVxEZW8Y1 很棒的东西” — xntrik (@xntrik) 2015年6月16日

接待了一位让互联网更安全的优秀实习生

在她在CSAW 2014的CTF挑战中给我们留下深刻印象后，我们向Loren提供了暑期实习机会。作为一名自学者和快速学习者，她使用american fuzzy lop和Microsoft MiniFuzz发现并报告漏洞，在纽约市一家科技初创公司的软件中发现错误，并在与公司的会议中展示了她的发现。我们很高兴她回来读高中最后一年。她将成为任何有幸拥有她的大学的资产。

“关于使用软件模糊测试工具查找错误的精彩文章。http://t.co/lwsWfUOWbm via @trailofbits” — dodgy_coder (@dodgy_coder) 2015年10月3日

将CTF社区拉近Windows专业知识

尽管Windows是我们行业的重要组成部分，但美国CTF不发布基于Windows的挑战。它们都来自俄罗斯。这需要改变。下一代安全研究人员需要更多基于Windows的挑战和竞赛。这就是为什么我们发布了AppJailLauncher，一个用于制作可利用Windows挑战的框架，保护一切免受破坏者侵害，并将Windows TCP服务与操作系统其余部分隔离。

点亮Flare-On挑战

从简单的密码破解到内核驱动程序再到图像中的隐写术，FireEye的第二届年度Flare-On挑战为每个人提供了内容（也就是说，如果你是逆向工程师、恶意软件分析师或安全专业人员）。他们的十一个挑战涵盖了一系列反逆向技术和格式。我们写下了我们承担的四个挑战（六、七、九和十一），以及可能在未来挑战中有用的更有用的工具和技术。

“那是@trailofbits关于#FLAREOn的好文章，谈论工具、逆向选项和替代技术 http://t.co/XK1bd7thOO" — Zubair Ashraf (@zashraf1337) 2015年9月9日

开源我们的自托管视频聊天

‘Tuber’是您团队安全视频聊天所需的一切。它拥有您期望从Google Hangouts获得的所有标准功能 - 如选择性静音和关闭视频的按钮 - 并且设计为在低延迟和CPU使用率的企业LAN上完美工作。如果您需要不依赖任何第三方服务的视频会议，您应该查看Tuber。

“很高兴看到人们开发去中心化、自托管的解决方案；不依赖孤岛。感谢@trailofbits！https://t.co/CcP6OEDX9l” — Tom Ritter (@TomRittervg) 2015年12月15日

财务支持Let’s Encrypt

我们赞助了Let’s Encrypt，这是一个免费、自动化和开放的证书颁发机构（CA），于12月3日进入公开测试版。在CA领域有如此多的改进空间，Let’s Encrypt提供了一个令人耳目一新、有前途的加密网络愿景。我们相信这将显著提高HTTPS采用率，确保每个人都能从更安全的互联网中受益。这就是为什么我们用一笔（对我们来说）大额捐款支持这一倡议，我们希望您能加入我们赞助Let’s Encrypt。

“感谢@trailofbits赞助Let’s Encrypt！” — Let’s Encrypt (@letsencrypt) 2016年1月5日

赞助六个学术活动

我们为我们在学术和研究领域的根基感到自豪，我们认为促进所有学生的网络安全教育非常重要。今年，我们赞助并为这些旨在激励和教育各学术水平学生的事件做出了贡献：

• EasyCTF
• HSCTF
• Build it Break it
• CSAW CTF
• CSAW Policy
• CSAW夏季女性项目

展望未来

我们为2016年计划了许多令人兴奋的事情。更多我们的自动化漏洞发现和修复技术将被开源。Ryan Stortz将在INFILTRATE 2016上演讲Swift逆向工程，他的演讲将辅以博客文章和白皮书。我们还将发布一个新的专用模糊测试器，我们已在多个项目中使用。为了继续社区外展，我们将举办一个LLVM黑客马拉松，创建新的程序分析工具，并将更改贡献回LLVM项目。最后但同样重要的是，期待Trail of Bits网站的改版。

如果您喜欢这篇文章，请分享： Twitter LinkedIn GitHub Mastodon Hacker News