Die Blackhat-Konferenz in Las Vegas gilt als eine der wichtigsten Messen für IT-Sicherheit. Das liegt laut dem Macher Jeff Moss vor allem daran, dass sie einen Ausblick auf die Sicherheitsprobleme der Zukunft gibt. Moss verglich die Messe in seiner Keynote mit einer Kristallkugel für Themen rund um die IT-Sicherheit: Wenn man sieht, mit welchen Trends und Problemen sich Hacker, aber auch Forscher aktuell beschäftigen, kann man daraus ableiten, welche Gefahren auf die eigenen Umgebungen zukommen. Unternehmen können Vorkehrungen treffen, bevor es zu spät ist.

Wie der Name andeutet, dreht sich die Konferenz nicht unbedingt um allgemeine Sicherheitsratschläge, vielmehr stehen konkrete Angriffsszenarien auf dem Plan, die sich gegen einzelne Programme, komplette Systeme oder ganze Systemgattungen richten können. Die Vorträge sind technischer als in den vergangenen Jahren. Das ist laut Moss auch so geplant. Ein komplettes Review-Board wurde eingerichtet, um alle Einsendungen zu beurteilen und nur passende Vorträge zuzulassen - so soll verhindert werden, dass sich unkontrolliert Hersteller mit ihrer Werbung in die Vorträge einschleichen. Das Ziel ist es, zurück zu den Wurzeln der seit inzwischen 15 Jahren ausgerichteten Konferenz zu gelangen, sagte Moss.

Hacker wie Forscher haben in diesem Jahr zahlreiche prominenten Firmen ins Visier genommen und zeigen gnadenlos die Schwachstellen auf. Angriffsfläche bietet beispielsweise Chrome OS, Googles Betriebssystem. Die Forscher Matt Johansen und Kyle Osborn haben das System detailliert untersucht. Chrome OS ist demnach zwar an sich sicher, allerdings gilt das nicht für viele Anwendungen, die als Erweiterungen installiert werden. Viele davon arbeiten im Grunde wie Webdienste und sind daher anfällig für gängige Attacken wie Cross-Site-Scripting oder SQL-Einspeisungen. Das Fatale daran: Da Chrome OS im Grunde komplett auf den Browser Chrome setzt, muss man mit diesen Erweiterungen arbeiten. Da sich diese noch dazu zahlreiche Berechtigungen einräumen, können Angreifer über weit verbreitete Schwachstellen etwa die Kontakte aus den Google-Accounts stehlen oder einen Wurm programmieren, der sich an alle Kontakte verschickt. Johansen und Osborn betonen, dass die Schuld dafür nicht bei Google, sondern bei schlampig oder falsch programmierten Erweiterungen zu suchen ist. Allerdings weisen sie auch darauf hin, dass es bei Google keinen ernstzunehmenden Review-Prozess gebe, selbst offensichtlich bösartige Anwendungen konnten die Forscher im offiziellen Marktplatz unterbringen.