BLOG

Tento rok sme s kolegami a pár ďalšími kamarátmi z Poľska získali pozvánku zrejme na najprestížnejšiu svetovú hackerskú konferenciu Ph Neutral ročník 0x7da (2010) organizovanú svetoznámym hackerom Felixom Lindnerom (FX). Konferencia je už pár rokov uzavretá iba na pozvánky a bez osobných kontaktov a dlhodobého pôsobenia v oblasti bezpečnosti je veľmi ťažké sa na nu dostať.

Priznám sa, že na začiatku mi tento uzavretý elitársky prístup vadil, nakoľko som presvedčený o tom, že o bezpečnosti a zraniteľnostiach je nevyhnutne verejne hovoriť. Neskôr som ale pochopil, že aj napriek všetkym dobrým úmyslom je tento druh verejnej konferencie v Nemecku jednoducho nelegálny. Jednotlivé prezentácie na Ph Neutral totiž priamo v sebe obsahovali spúšťanie vytvorených exploitov, ktoré sú v Nemecku od roku 2007 zakázané. V júni 2007 totiž nemecký parlament vykonal niekoľko zásadných zmien do zákona o počítačovej kriminalite, kedy zakázal distribúciu akýchkoľvek počítačových programov, ktoré sa používajú na páchanie trestných činov. Tam automaticky patria všetky penetračné nástroje, scannery a samozrejme aj exploity. Ktokoľvek ich používa alebo distribuuje, môže byť odsúdený až na jeden rok väzenia alebo pokutu.

Aby technologická bezpečnostná konferencia ako Ph Neutral bola v Nemecku možná a súčasne bolo prakticky možné na nej demonštrovať zraniteľnosti pomocou vytvorených exploitov, najbezpečnejšie a najrozumnejšie riešenie bolo spraviť z danej konferencie privátnu party a to iba na pozvánky.

V tomto duchu sa viedol aj súčasný ročník Ph Neutral, na konferencií bolo síce len (odhadujem približne) 200 ľudí z celého sveta, väčšina z nich boli ale renomovaní bezpečnostní experti zodpovední za veľkú časť verejne publikovaných zraniteľností, autori svetoznámych kníh o technickej bezpečnosti – písaní shellcodov, bezpečnosti webových aplikácií, či cyberterorizmu. Na konferenciu Vás síce pustili až po overení špeciálneho hexadecimálneho prístupového “invitation” kľúča, vstup bol ale zdarma, podobne jedlo, či niektoré nápoje. Samotná atmosféra bola viac ako rodinná.

Víkendová konferencia začala neoficiálnym príhovorom FXa, po ktorom nasledoval technožúr s 3D psychadelickou video projekciou, ktorú mohol každý účastník pomocou svojich 3D okuliarov sledovať.

Samotné odborné prezentácie začínali až v sobotu.

Hneď na začiatku ma prekvapila prezentácia 8-Bit Wonderland – Executing custom code on the Nintendo Game Boy, hlavne faktom, že sa niekto v súčasnej dobe venuje hackovaniu herných konzol. Autor prezentácie hneď na začiatku ukázal ako dokáže nad danou konzolou získať plný prístup, vykonať ľubovoľný kód, preprogramovať EEPROM ako aj vytvoriť si vlastný “herný cartridge”.

Georg Wicherski z Kaspersky lab mal odbornú prezentáciu o dirtboxe, x86/Windows emulátore, ktorý je možné využiť na hlbšiu a detailnejšiu analýzu malwaru a vírov.

Zastúpenie mali aj ženy – Julia Wolf mala zaujímavú prezentáciu o robustnosti a zraniteľnostiach PDF formátu, možnostiach vykonať javascript, či zaútočiť na konkrétne zraniteľnosti Adobe Acrobat readera.

Meredith L. Patterson a Len Sassaman mali prezentáciu o využívaní zraniteľnostiach v gramatike rôznych protokolov. Ukázali ako je možné zneužiť LT nie bezpečné protokoly, vďaka čomu tu máme napríklad SQL injections. Pekne to demonštrovali na injektovaní nekorektného unikódového obsahu do viacerých atribútov X509, čím nabúrali bezpečnosť svetového PKI riešenia.

Harald Welte mal prezentáciu Sending arbitrary protocol data to GSM networks, ktorá bola veľmi podobná jeho poslednej na CCC konferencii. S tým rozdielom, že prakticky demonštroval vlastný GSM framework s peknou ukážkou zneužitia dostupných GSM BTS staníc, ktoré boli v okolí.

Hneď potom nasledovala séria krátky prezentácií (lightning talks) a samozrejme party žúr ako sa patrí.

Nedeľa bola venovaná cyberterorizmu, viacero prezentácii sa venovalo súčasným problémom cyberterorizmu, čínským útokom nielen na Google (operácii Aurora) a súčasnému sociálnemu inžinierstvu. Poslednú prezentáciu sme už nestihli a odišli na Slovensko tesne pred ňou.

Zhrnutie

Aj napriek uzavretosti bezpečnostnej konferencie Ph Neutral, ju radím spolu s CCC, či letnými hackerskými kempami za vysoko odbornú, ktorá bohužial na Slovensku, či v Čechách zatiaľ stále nemá obdoby. Existujúce české, či slovenské bezpečnostné konferencie sú buď úzko marketingovo/produktovo zamerané, alebo sú na nich prezentované už niekoľko rokov známe informácie. Bohužiaľ nič inovatívne ani prevratné, čo je vzhľadom na podstatne menšiu bezpečnostnú komunitu na Slovensku, či v Čechách na druhej strane pochopiteľné. Zatiaľ teda stále platí, že za “vysokou kvalitou a odbornosťou” je nutné vycestovať.

Najbližšie zaujímavé udalosti v oblasti technickej bezpečnosti:

9-11.7.2010 PlumberCon vo Werkzeug/Viedni

(mne sa to akurát prekrýva s festivalom Pohoda, ale minimálne ten priestor Werkzeug je zaujímavý)

10-13.8.2010 Letný hackerský geek kemp v Wieringerwerf/Holandsku

(organizujú to tí istí organizátori ako legendárny HAR2009, má to byť ale menšie, komornejšie a v prírode)

18-19.9.2010 Hacktivity v Budapešti

(Maďarskí organizátori sa konečné vzchopili a chystajú sa zorganizovať veľkú bezpečnostnú konferenciu, medzi potvrdenými je napríklad Bruce Schneier)

23-26.11.2010 DeepSec vo Viedni