安全研究實驗室巡禮——亞利桑那州立大學未來計算安全工程安全實驗室

2021-02-16 安全學術圈

本周的安全研究實驗室巡禮，我們要帶大家走進一家極具特色的聯合實驗室，它就是美國亞利桑那州立大學未來計算安全工程實驗室（SEFCOM at Arizona State University, https://sefcom.asu.edu/）

SEFCOM包括五名緊密合作的教授、兩名博士後、三名研究工程師38名博士生和10名實習生。SEFCOM的博士生不限於只與自己的導師合作，可以根據自己的研究方向和研究興趣任意選擇合作的教授，也可以與SEFCOM之外的教授合作。我們堅信興趣是驅動科研的最佳動力，因此SEFCOM的每名學生都有充分的選擇研究方向和課題的自由。

SEFCOM和CTF比賽有非常深厚的淵源。SEFCOM創立了The Order Of Overflow (OOO)，現為DEFCON CTF負責團隊，負責所有的技術及題目開發。Pwndevils (https://pwndevils.com/) 是一支以SEFCOM為主的CTF隊伍，目前是CTF戰隊Shellphish大家庭的一員。

研究方向：

SEFCOM覆蓋的研究方向非常廣闊，包括訪問控制（Access Control）、安全風險分析（Risk Assessment）、分布式系統安全、二進位分析（Binary Analysis）、網絡安全、Web安全、軟體漏洞挖掘（Vulnerability Discovery）、漏洞自動利用（Automated Exploit Generation）、漏洞修補（Vulnerability Mitigation）、逆向工程、博弈論、網絡犯罪等。二進位分析領域的常用工具angr現主要由SEFCOM維護。

知名的安全學者Gail-Joon Ahn教授(http://www.public.asu.edu/~gahn1/)是ASU SEFCOM的創建者。他致力於研究大數據驅動的安全分析、風險管理、訪問控制、網絡犯罪等課題。他與工業界，特別是三星研究院（Samsung Research）有深厚的合作關係。Gail曾獲得NSF CAREER Award、FISSEA 年度教育者獎（the Educator of the Year Award）以及CODASPY 2014最佳論文獎，並且是多個安全會議的程序委員會（Program Committee）成員。

Adam Doupé教授(https://adamdoupe.com/)的主要研究方向是網絡安全（Web Security）、移動安全（Mobile Security）、SDN安全、地下經濟、自動化漏洞挖掘、隱私安全以及安全競賽教育（hacking competition education）。他是Pwndevils CTF戰隊的創始人，也是UCSB iCTF的合作舉辦者。Adam曾獲得NSF Career Award及USENIX Security 2019最佳論文獎。Adam現為the Order of the Overflow成員，參與DEFCON CTF的技術支持及題目開發工作。

Yan Shoshitaishvili教授(https://www.yancomm.net/)的主要研究興趣是二進位程序分析，包括符號執行、漏洞挖掘、漏洞利用等方向。他曾經是知名CTF戰隊Shellphish的隊長，目前是DEFCON CTF組織者The Order Of the Overflow (OOO)的隊長。Yan還曾經帶領Shellphish團隊參加 DARPA Cyber Grand Challeng (DARPA CGC) 並在決賽中獲得了第三名。CGC決賽中使用的系統 Mechanical Phish 已經在 GitHub 上開源了。此外，Yan和Fish 於2013年共同創建了開源的二進位分析平臺angr，並持續維護至今。Yan與Fish合作的論文獲得NDSS 2017 最佳論文獎。

鮑由之（Tiffany Bao）教授(https://www.tiffanybao.com/)的主要研究興趣是自動化二進位程序分析與博弈論在軟體安全的應用。她研究的問題是如何有效利用程序分析、漏洞攻防的技術及博弈論的方法發現並最優處置漏洞，從而降低軟體漏洞所帶來的風險，實現軟體安全。她與Yan和Fish合作的論文曾獲得NSA年度最佳科學安全論文獎（Annual Best Scientific Cybersecurity Paper Award）。Tiffany現為The Order of the Overflow成員，參與DEFCON CTF的命題工作。

王若愚（Fish Wang）教授（https://ruoyuwang.me/）的主要研究興趣是二進位程序分析，包括自動化漏洞挖掘、反編譯（Binary Decompilation）、程序理解（Program Understanding）、逆向工程等。他的研究理想是有朝一日讓二進位程序比原始碼更加容易理解。Fish 和 Yan 共同創建了開源的二進位分析平臺angr，且一直維護至今。Fish是Shellphish CGC團隊的核心成員，也是Shellphish CTF團隊的核心成員。他曾獲得NDSS 2017 最佳論文獎、NSA年度最佳科學安全論文獎以及OSDI 2018最佳論文獎。

特色！

CTF（Capture The Flag）是SEFCOM的重點之一。很多時候CTF中的問題是現實安全問題的簡化版。我們認為，CTF不僅不會影響學業，反而會極大促進研究進展。因此我們鼓勵學生參與CTF，並在CTF中發現值得研究和解決的安全問題。Adam Doupé創建了 CTF戰隊pwndevils，從去年起加入了世界知名戰隊Shellphish。目前Yan、Adam和Tiffany都是DEFCON CTF 的組織者 Order of the Overflow (OOO) 的成員。Fish還在努力和Shellphish一起為有朝一日贏得DEFCON CTF默默努力著。如果你對CTF非常感興趣，SEFCOM與Shellphish都歡迎你的加入！

加入SEFCOM

ASU的計算機安全方向有雄厚的科研實力，近年來在計算機安全四大頂會上發表了多篇論文，目前在CSRankings的全美排名為第30位。專業的研究工作離不開優秀的學生。我們希望和來自世界各地的優秀學生和學者共同工作，解決實際的計算機安全問題。如果你和SEFCOM的任何一位教授有共同的研究興趣，想用三到五年時間解決一個科研難題，成為相關領域內的專家，那麼SEFCOM一定會是你的理想的研究起步之地。如果你想徵戰CTF，在CTF領域建功立業，同時又不滿足於只是提升自己的能力，仍有一點兒構建更好的工具的夢想，那麼SEFCOM也是你的理想家園。

「我怎麼知道我是否適合讀博士，是否適合美國的生活，是否適合SEFCOM呢？」問得好！為了解決這些問題，SEFCOM提供了面向任何人（包括本科生、研究生以及已畢業同學）的實習生計劃（Research Apprenticeship Program）。你可以在SEFCOM做一段時間的帶薪研究（通常為三個月到兩年），在此期間你沒有任何課業壓力，只需專注於體驗計算機安全領域的科研。如果你認為自己適合在SEFCOM的生活，可以考慮成為ASU的博士生，或者申請其它大學的博士生項目。實習生計劃的介紹與申請詳情請參見 https://sefcom.asu.edu/apprenticeship。

亞利桑那州立大學是全美最大的公立大學，地處亞利桑那州的鳳凰城。與很多同學的認知相反，鳳凰城並不是一片茫茫的沙漠，而是山谷中的一座大型城市，有著豐富的文化和娛樂生活。來SEFCOM的同學們完全不必擔心在「美國大農村」度過多年枯燥的科研時光。儘管科研是一種生活，但是有生活才有科研嘛。

點擊👇原文了解SEFCOM實習生計劃

相關焦點

  • 關注實驗室安全:盤點那些年實驗室中曾經的「傷痛」
    2013年4月12日，國家級煤化工重點實驗室寧夏大學能源化工實驗室3樓發生爆炸;　　2013年4月30日，南京理工實驗室爆炸已致
  • 中國「網絡安全」的 12 大頂級企業實驗室
    籍由此，雷鋒網AI掘金志整理出國內頂尖的十二大網絡安全企業實驗室（按企業首字母，排名不分先後），讓網絡安全圈背後的無冕之王走到臺前。作為網絡安全領域資歷最老的企業之一，360在滲透進安全的各個角落的同時，匯集了國內的頂尖研究團隊，形成了一整套安全研究團隊，涵蓋15大安全團隊、8大安全研究院、4大國家工程實驗室，AI掘金志在此謹選取3個突出團隊為代表。
  • 實驗室安全要牢記
    1、防水　　每個實驗室都配有一次性水、純水、高純水或制水的儀器如蒸餾器、純水機。作業人員在使用的過程中有忘記關水龍頭的，或者是突然停水後打開水龍頭忘記關閉的。　　有實驗室就曾發生過一起漫水事故，就是因為停水當天，打開了水龍頭忘記關閉，出水量過大，排水口又被堵住了導致實驗室漫水嚴重，花了一個小時才把實驗室的水清理乾淨。
  • 美國空軍研究實驗室開發新型迷你加密晶片確保安全通信
    美網絡司令部對朝鮮發起分布式拒絕服務攻擊，俄電信公司助朝鮮重獲網際網路訪問能力據E安全10月10日消息，美國總統川普近期籤署一項行政令，旨在提高美軍網絡攻擊水平以增加對朝鮮的施壓能力。 美國軍艦無人機設備感染惡意軟體，或導致遠程飛行任務在線洩露據Hackernews網站10月10日消息，網絡安全專家近期在美國內華達州的克裡奇空軍基地檢測軍艦設備時發現無人機「捕食者」（Predator） 與 「收割者」（Reaper）的主機系統遭病毒感染，或可導致飛行人員的遠程任務在線洩露。
  • 知道創宇404實驗室:2018年網絡空間安全報告
    2018年知道創宇404實驗室（以下簡稱404實驗室）一共應急了135次，Seebug漏洞平臺收錄了664個漏洞，相比於2017年，應急的漏洞數量更多、涉及的設備範圍更廣。2018年上半年虛擬貨幣價值高漲所帶來的是安全事件頻發。區塊鏈產業安全建設無法跟上虛擬貨幣的價值提升必然會導致安全事件的出現。
  • 知道創宇區塊鏈安全實驗室|Wault Finance 閃電貸安全事件分析
    8 月 4 日，知道創宇區塊鏈安全實驗室 監測到 BSC 鏈上的 DeFi 協議 Wault Finance 遭遇閃電貸襲擊，價值跌落近半。實驗室第一時間跟蹤本次事件並分析。近期，BSC 鏈上頻頻爆發攻擊事件，合約安全愈發需要得到迫切重視，合約審計、風控措施、應急計劃等都有必要切實落實。
  • 我校這個實驗室為多個國家重大工程提供實驗數據
    在重慶大學第一食堂背後，有一幢兩層樓的建築掩映在鬱鬱蔥蔥的樹木中——這裡是輸配電裝備及系統安全與新技術國家重點實驗室進行大型電力裝備實驗的地方。走進一樓大廳，正對面是一個黃色、圓桶形的大罐子，左右兩邊分別是紅色的電力變壓發生器和黑色的大容量交流汙穢試驗電源。「這是進行輸配電研究最基礎的三樣『武器』，是實驗室的『三大寶』。」
  • 太赫茲技術及其在國防與安全領域的應用
    尤其在軍事和安全領域，太赫茲技術更是有著廣闊的應用前景。太赫茲技術因得到了各國政府和研究機構的高度重視，成為了當前國防和反恐中的重點研究項目。太赫茲波綜合了電子學和光子學的優越性能，具有很多不同於其他電磁波的特殊性質。也正是這些特性，使之成為當前科技界最熱鬧的前沿領域之一。
  • 國外重點實驗室掠影︱美國橡樹嶺國家實驗室(ORNL)
    20世紀50、60年代，ORNL主要從事核能、物理及生命科學的相關研究；70年代成立能源部後，研究計劃擴展至能源的產生、傳輸和保存領域；目前的定位是通過開展基礎和應用項目研發，提供知識和技術上的創新方法，以增強美國在主要科學領域裡的領先地位、提高潔淨能源的利用率、恢復和保護環境，以及為國家安全作貢獻。
  • 化學實驗室爆炸致1死1傷!安全事故何時休?
    7月24日上午江西省吉安市吉水縣一玻璃廠化學實驗室發生爆炸。據報導，該爆炸是化學實驗室實驗員操作不當所致，引發了氣流衝擊，造成了小範圍的爆炸。實驗室裡的實驗員因搶救無效死亡，另有一人在室外受了輕傷，已送往醫院。其實，在2021年已經過去的200多天裡，也斷斷續續發生了不少的安全事故，讓人痛心！
  • 構建軟體工程的未來:研究和發展路線圖
    軟體對於我國的國際競爭力、創新、國家安全至關重要。軟體還保證了我們的現代生活水平，並確保國防、基礎設施、醫療保健、商業、教育和娛樂等方面持續進步。美國國防部聯邦資助的研究和發展中心（FFRDC）專注於改進軟體工程實踐，卡耐基梅隆大學（CMU）軟體工程研究所（SEI）正圍繞下一代軟體依賴系統，領導團隊規劃未來多年的研發遠景和路線圖。本文介紹了這方面的一些工作。
  • 高中生黑進美國核彈實驗室,從此改變了計算機安全的世界
    以研發核武器而聞名的國家實驗室，被一群青少年黑客黑了進來：這個看似好萊塢的情節，確確實實發生在三十多年前的美國。三十多年前黑進美國國家實驗室的少年黑客Neal Patrick。這個小團體最終因為突襲了十多個政府和行業系統而被 FBI 抓獲，其中包括紀念斯隆·凱特琳癌症中心（Memorial Sloan Kettering Cancer Center）和洛斯阿拉莫斯國家實驗室（Los Alamos National Laboratory），後者是二戰期間美國製造原子彈的核武器研究基地。
  • 【獨家】《電力監控系統安全防護規定》解讀系列報導(六)
    高崑崙介紹，目前中國電科院實驗室通過國家、行業及國家電網公司多年來的資助建設，已經擁有了多款國際、國內高端信息安全檢測儀器儀表。提升科研能力和自主核心安全產品的研發能力。「目前針對電力監控系統的安全產品主要以隔離和接入為主，我們目前與國家院士團隊正在聯合攻關『基於可信計算的電力生產調度系統安全增強技術研究及應用』項目，並已經聯合研發出基於商密算法的可信密碼模塊、電力調度控制系統專用可信計算密碼平臺及配套模塊，目前正在國調和部分省調進行試用。」
  • 基於仿生機理的內生安全防禦體系研究
    , 方蘭婷1,2, 李濤1,21 東南大學網絡空間安全學院，江蘇 南京 2100962 紫金山實驗室，江蘇 南京 211100 摘要：針對防火牆、入侵檢測、防病毒等外殼式防禦技術來不及檢測、分析和過濾惡意流量，防禦機制沒有與網絡設備的安全狀態關聯
  • 量子光學|在美國空軍和陸軍支持下,南加州大學利用光電實現量子光路,有望開創安全通信和量子計算的新未來
    在如此大數據量及有限計算能力下，我如何確保敏感數據的安全，以及利用這些數據來解決從隱私、安全到氣候變化等類似大挑戰的問題？一個有前景的替代方案是使用新興的量子通信和計算技術。但要實現這一點，就需要開發強大的新型量子光路，能夠安全地處理每天產生的大量信息。 量子光路是使用光源，按需產生單個光粒子或光子，一次一個，作為信息攜帶位（量子位或qubits）。
  • 說說南航實驗室爆炸事件
    但對於學生來說，只是為了順利得到一個學位，或是在未來求職時能多幾分把握。翻翻新聞，僅僅今年就已經多發好幾起實驗室安全事故了，往年的更不用說。以至於有相關專業的人寫了這樣一副對聯：貪生怕死勿入斯門，升官發財請往他處。橫批是：材料科學與工程學院。
  • 橡樹嶺國家實驗室——美國創新能力的重要發源地
    20世紀50、60年代，ORNL主要從事核能、物理及生命科學的相關研究；70年代成立能源部後，研究計劃擴展至能源的產生、傳輸和保存領域；目前的定位是通過開展基礎和應用項目研發，提供知識和技術上的創新方法，以增強美國在主要科學領域裡的領先地位、提高潔淨能源的利用率、恢復和保護環境，以及為國家安全作貢獻。
  • 網絡安全攻防戰
    記者見到中科院信息安全國家重點實驗室教授、北京知識安全工程中心主任呂述望時，迫不及待地問出第一個問題。「看重圍棋上的一個棋子無妨，但也不能忽視全局。」呂述望說。「我不主張把網際網路翻譯成網際網路！可以簡單地說，中國公眾使用的網絡是美國網際網路的一部分。誇張點說，中國億萬公眾在美國網際網路上淘寶。」呂述望表示，「中國沒有自己的網際網路。」
  • 量子隨機數發生器是網絡安全的未來
    當然，對被測量的內容進行反向工程可能需要費一番周折，但密碼員必須假定，最終會有人找到一種破解辦法。很多物理隨機數的產生很緩慢。一種常用的方法是記錄滑鼠在計算機屏幕上的點擊或移動的坐標。KeePass是一個開源的密碼管理器，利用滑鼠的晃動生成主密碼。可以試想一下，為了加密所發送的每一封電子郵件，你需要多少次隨機點擊或晃動滑鼠。