Prezentarile tinute cu fost cam asa, pe scurt (sper sa apara si slide-urile la un moment dat).

Ziua I:

• Crypto as a global business – Mika Lauhde: Pretty much o prezentare despre compania SSH communications, impanata pe ici pe colo cu FUD despre OSS (ca e codul liber sa-l vada oricine si sa vada daca-s vulnerabilitati in el, ca n-ai la cine suna dupa suport si alte obisnuite plangeri ale astora comerciali).
• Leading and developing the Cyber Workforce – Anthony Guess-Johnson: asta am ratat-o ca imi cautam cafea.
• Cyber Necromancy: Reverse engineering dead protocols – Matthew Halchyshak: “calatoria” unui om in a face un joc vechi de PS2 sa mearga in retea dupa ce producatorul jocului a oprit serverele sale. Aproape un an de zile sa afle ce fac vreo 80 de functii/comenzi si inca mult mai multe luni sa le puna cap la cap. Dar acum se joaca online :)
• Vulnerability assesments on SCADA Networks: Outsmarting the SmartGrid – Fadly B. Sidek: pe asta am ratat-o, dar din ce mi-au zis unii de au fost in sala, tipul de a prezentat a dat si el o scanare de Nessus intr-o retea cu ceva PLC-uri si dupa aia a dat un ping si a ridicat un robot o mana. Vroiam s-o vad, da uitasem programul. Se pare ca n-am pierdut nimic.
• Finding an European way for a safer cyberworld integrating our continent’s millenary values – Laurent Chrzanovsky: Am ratat-o ca vorbeam cu oameni pe afara. Din titlu probabil propune sa ne impacam toti si sa ne facem o tara mare fara nici un fel de divergente :)
• Managing risk effectively – Cristian Stoica: Si pe asta am ratat-o ca m-am lungit la discutii.
• What happens in Windows 8 stays in Windows 8 – Moti Joseph & Marion Marschalek: O prezentare foarte interesanta despre vulenrabilitatile din Windows 8, cum se face bug hunting si cum se identifica potentialele vulnerabilitati. Pe langa asta, un intro despre cat mai costa un 0-day, despre cum functioneaz sistemul de brokeraj si cat castiga un broker la o intermediere. Exploiturile pleaca de la 10-15K pana pe la 250K USD in functie de platforma, disponibilitate etc. Daca vinzi chestii la mare cautare, poti face si un milion pe exploit.
• A look intro bullet proof hosting – Catalin Cosoi & Silviu Sofronie: In detaliu despre munca celor de la BitDefender in identificarea centrelor de comanda si control (C&C) ale botnetilor si mai noi a malware-ului de tip Ransomware. Ce mi s-a parut interesant este ca oamenii de se ocupa cu asa ceva folosesc layere de proxy-uri peste proxy-uri pentru a ascunde adresele finale ale centrelor de control, iar mai nou, dupa primul layer, traficul intra in Tor si *poof* – dispare. Si nu in ultimul rand, o explicatie foarte buna despre Domain Generation Algorithms prin care malware-ul, in functie de data, alege sa foloseasca anumite servere de C&C pe baza de nume de domeniu generate algoritmic si care sunt inregistrare foarte repede si cu un lifetime de 1-2 zile maxim. Mi se pare interesant jocul asta de-a soarecele si pisica si faptul ca “the bad guys” sunt mult mai tari cand vine vorba de facut chestii decat “law enforcement”.
• PuttyRider: Pivoting from Windows to Linux in a penetration test – Adrian Furtuna: sau cum poti face dump realtime la ce vede un utilizator de putty si cum poti face hijack la o sesiune de putty fara ca cine il foloseste sa nu se prinda. Adrian a scris un utilitar care injecteaza un DDL in memoria procesului de PuTTY care in functie de comenzile primite poate deschide o conexiune inversa catre host-ul atacatorului care mai departe vede ca la televizor tot ce face un administrator si poate lua controlul terminalului sa faca chestii. Pretty nifty stuff si foarte “movie like” modalitatea gasita de el.
• Practical study of security problems on one of the most efficient Web Application Firewall – Cernica Ionut-Cosmin: WAF-ul in cauza era Fortinet (laughably “most efficient”, cel mult un mod_security cu GUI), iar vulnerabilitatile constau in accesul neautentificat la anumite parti din interfata de administrare: config dump si incarcarea fisierului de licenta. Buba mare mi s-a parut la la a doua parte, pentru ca se pare ca WAF-ul rescrie licenta si dupa aia vede daca e sau nu valida, caz in care nu mai functioneaza. Mi se pare un vector de atac foarte interesant daca vrei sa frustrezi maxim pe administratorul WAF-ului :)
• Security nightmares for journalists, why we all must be SysAdmins – Julie Gommes: o tanti ziarista care s-a plimbat prin diverse locuri “fierbinti” din lume. A discutat despre problemele intampinate cu protejarea datelor, a surselor, ce metode de criptare foloseste (LUKS si PGP), despre cum mai intideaza diverse tari jurnalistii. Ocazie cu care am aflat ca in Franta (ea fiind frantuzoaica) vrea sa se dea o lege prin care e liber la interceptat pe toata lumea in numele “luptei impotriva terorismului”. Un proiect de a proteja datele remote si a distruge tot ce ai local la o apasare de buton ar fi fantastic pentru jurnalisti. Whoopsy…
• Android (in)security – Ralf C. Staudemeyer: O prezentare cu note de teoria consporatiei pe ici pe colo, despre ce servicii sunt On implicit in Android, ce date primeste Google de la utilizatori. Dupa aia a vorbit de BlackPhone si de faptul ca fiind Android based e la fel de insecure ca firmware-ul de baseband vine ca binary blob si nu prea stii ce face. Despre SMS-uri silent, sau mai bine zis de SMS-urile destinate SIM-ului. Overall asa am avut mixed feelings, ca unele chestii zise au fost bune, la altele a luat-o pe ulei grav. Bottom line, nu folositi un smartphone daca tineti la privacy prea mult.
• Cognitive Bias and Critical Thinking in Open Source Intelligence (OSINT) – Benjamin Brown: despre biasul in gandire, despre cum “prior knowledge” ne influenteaza deciziile, despre cum putem sa ne verificam daca suntem sau nu biased, despre “bandwagon effect”, groupthink si altele. Plus o prezentare foarte misto despre cum oamenii internetului de pe Reddit au dat-o de gard cand au anuntat in mod gresit numele unuia din suspectii de la “Boston Marathon Bombings” si cum informatia s-a transmis si multiplicat in cateva ore la milioane de oameni. A fost o super prezentare, nimic tehnic in ea, doar chestii de bun simt si de “auto control” despre cum sa te verifici daca esti biased sau nu intr-o anume activitate. Si mai misto a fost ca a discutat si despre metacognition, ca nu prea multa zice de asta cand e vorba de gandit si luat decizii pe baza unor informatii.
• The heritage of Snowden for Europe – Mika Lauhde: la prezentarea asta a luat-o finlandezul pe tot butoiul de ulei, ca am dat-o in teoria conspiratiei, state actors si tot ce vorbesc oamenii cu “tinfoil hat” pe cap :) Asta a urmat dupa ce unul din sponsori, Domeniile Samburesti, a livrat cateva baxuri de licoare bahica. You can imagine the rest.
• Privacy in Mobile Apps. Enterprise opportunities – Yury Chemerkin: un nene rus a vorbit despre ce date stocheaza aplicatiile importante de mobil si modul in care transmit datele: unele in clar, altele pe SSL iar altele trimit chestii inutile criptate si chestii importante (precum datele de card) in clar. Because fuck logic, that’s why. A vorbit pana m-a plictisit. Am stat mai mult pentru accent, ca mi-am adus aminte de fostul meu coleg etnic rus din UAE.
• All your bitcoins are beling to us – Alexandru George Andrei. Pe asta am ratat-o ca a fost programul foarte mult decalat si daca mai stateam nu mai apuca sa dorm sa ma trezesc pentru a doua zi.
• SSH tunneling, a gate to freedom and a threat – Andrei Hodorog: idem ca mai sus.

Ziua II:

• Cyber Ranges – Paul de Souza: un sales pitch mascat ca o prezentare tehnica. Niste oameni au creat “poligoane” virtuale pentru ca viitorii soldati “cibernetici” sa se poata antrena si sa poata simula “Internet in a box” intr-un mod cat mai realist. Ideea in sine este foarte misto, da prea mult vorbit fara sa zica nimic (genul de politician american). In other news, vand o distributie de Linux cu “proprietary crypto” pe ea si cu un fel de VPN peste care ruleaza un tunel SSH pentru “robustete” si asta se cheama “Twisted encryption”.
• The utilization of “Cyber Hygiene” to mitigate SCADA systems vulnerabilities – Roger W. Kuhn, Jr. Un fel de copy/paste din ghidurile de la NIST despre SCADA cu multa vorbarie fara sa spuna nimic, la fel ca predecesorul lui ca au venit la pachet cu prezentarile. Speram la ceva mai mult, mai ales ca prezentarea nu a fost inregistrata ca asa a vrut prezentatorul, sa nu plece lumea cu proprietatea lui intelectuala…
• Securing networks using SDN and Machine Learning – Dragos Comaneci. Un proiect de doctorat al unui inginer de la Ixia despre cum poti folosi un controller pentru a profila traficul intr-o retea de tip SDN si prin folosirea unor algoritmi de tip Machine Learning sa poti redirecta traficul considerat “anomalous” printr-un honeypot sau chiar sa-i faci “discard” direct. O alta utilizarea a profilelor de trafic ar fi provizionarea de “reguli/rute” de trafic cand stii dinainte ce tip de trafic o sa vina, de unde si pana unde. Mi se pare super tare ideea si cu potential mare de tot pentru viitor.
• CubeSats – A fairy tale: How academia got the chance to implement satellite (in)security and how I tried to fix it – Marius Munch. Rachetele de duc pe orbita diverse incarcaturi s-au dovedit ca au loc suplimentar sa duca si cativa sateliti miniaturali pentru diverse universitati din lumea. Prezentarea omului (care a fost si teza lui de master) s-a axat pe ce tip de securitate se poate implementa pentru microsatelitii folositi de universitati pentru studiu. Omul a facut un algoritm de securitate pentru a securiza comunicarea de tip Uplink astfel incat satelitul sa nu primeasca comenzi decat de la un base-station cunoscut. Ocazie cu care am aflat si eu unde se mai foloseste AX.25 :)
• Democracy and massive control in the post-Snowden age – Raoul “Nobody” Chiesa: sau despre cum diverse guverne din lumea au impus cenzurarea nationala a retelelor de socializare pentru a ascunde atrocitatile comise in numele “sigurantei statului” sau pentru a bloca pe cat posibil accesul “scurgerea” informatiilor in afara atunci cand lumea se revolta si politia si alte forte care au arme le folosesc fara discriminare. Un alt topic a fost costul tot mai scazut al supravegherii in masa a populatiei si profilarea automata a acesteia. De asemenea s-a discutat despre faptul ca tot mai multe servicii de informatii cer in mod explicit fonduri pe achizitionarea de 0-days pentru a fi folosit in scopuri ofensive.
• SCADA software or Swiss Cheese software – Celil Unuver: sau despre cum majoritatea sistemelor de control industrial nu a fost proiectate pentru a fi conectate la internet si despre vulnerabilitati aproape triviale care pot fi gasite in sisteme de a caror buna functionare depind sute/mii de vieti omenesti. Pana acum nu s-a trecut peste linia rosie, insa la un moment dat cineva va cauta sisteme vulnerabile pe Shodan si va apasa pe butoanele de acolo si o sa fie interesant spre trist.
• Owning the girl next door – Alex Balan. O prezentare foarte misto facuta, despre cum putem face spoofing intr-o retea locala, cum putem modifica si injecta cod malitios in tranzit in pachete software si despre cum poti exploata diverse aplicatii pentru a obtine “root” pe computerul vecinei ;)
• Penetration testing: 7 deadly sins – Marek Zmyslowsky. Pentesting-ul nu e usor, trebuie sa ai multa rabdare, sa intelegi ce faci, sa ai un pic de people skills sa stii sa vorbesti cu oamenii si sa le explici ca bagarea sub pres a problemelor nu este “the way to go”. Multe exemple mi-au fost foarte familiare prin peripetiile mele (nu m-am ocupat de pentest niciodata dar am participat la unele ca observator sau in postura de client) iar altele au fost chestii de bun simt ignorate cu buna stiinta de clienti.
• Pytotechnic composition: Fireworks, embedded wireless and in-security by design – Andrei Costin. Ce faci cand descoperi ca lansatoarele de artificii sunt wireless, componentele de comanda si control discuta in clar cu modulul care da comanda de lansare si ca poti face sniffing la traficul de pairing si dupa aia poti trimite ce fel de comenzi vrei tu la lansator ca si cum ai fi statia de comanda? Well, poti sa faci ca lansatoarele de artificii sa para ca sunt posedate.
• Memory Forensics & Security Analytics: Detecting Unknown Malware – Fahad Ehsan. Pe principiul ca antivirusul prinde un set limitat de amentintari si ca produsele de tip gateway anti-malware mai pot prinde un alt procent de malware, ce te faci cand totusi lucrurile nedorite totusi ajung pe un computer si nu poti rula un produs care sa poate face “application whitelisting”? Well, nene asta de “lucreaza la o mare banca elvetiana din Singapore” s-a gandit sa faca dump periodic la memoria unui calculator si folosind Volatility sa scoata lista de procese, socketi si ce mai e pe acolo si sa le compare periodic si daca ceva e diferit de baseline sa zica “cre’ca avem o problema cu celulele de dilithiu”. Ideea pare OK, mai ales ca este implementata si comercial de diversi producatori (Mandiant, EnCase si altii) insa trebuie sa ai retea buna si cat timp faci dump sa nu se panicheze utilizatorul ca merge treaba greu. Mi se pare foarte fezabila treaba asta intr-un mediu cu conexiune de 10Gbps si cam un 8GB RAM pe acolo sa nu stai sa faci dump forever.
• Social engineering or “hacking people” – Tudor Damian. Pretty much o prezentare generica de “this is how you do social engineering” si cu un link bait in prezentare pe care au dat click vreo ~30 de oameni din sala. N-as zice ca a fost ceva spectaculos sau nemaivazut in prezentare.
• I can track you! They can track you! Everyone can track you! – Miguel Mota Veiga. Well, telefoanele mobile leakuiesc informatii despre retele wireless la greu. Unul din motive este ca pentru a face o autentificare cat mai rapida, telefonul nu mai asteapta sa vada ce retele sunt prin jur, ci cauta direct ultimele SSID-uri la care s-a conectat, lucru care poate fi interceptat si folosit pentru profilarea utilizatorului. Cum randomizarea adresei MAC a placii wireless nu este implementata in Android/Windows Phone/iOS mai vechi de 8, o data ce stii MAC-ul unui telefon, il poti urmari cam peste tot. Pe langa asta, un operator mobil are mereu idee pe unde te afli aproximativ din datele celulei la care esti legat. It’s a scary world out there.

Pe langa sesiunea de prezentari, a fost si una de CTF care a fost castigata de o echipa din Rusia, Balalaika Cr3w.

In afara salii unde s-au tinut prezentarile a fost un stand de la chapterul local de la OWASP, care a fost o supriza foarte mare si foarte placuta pentru mine.

Overall mi s-a parut foarte misto evenimentul, mai ales ca au venit cateva sute de oameni de prin aproape toata lumea.

Cred ca cel mai mult a contat faptul ca s-au prezentat idei, lucruri muncite de oameni si tot asa. Mi-era dor de un eveniment de genul asta, ca in ultimii ani am cam avut parte numai de crapuri comerciale cu “cumparati voi X si o sa fiti super mega ultra secure” si alte aberatii din astea.

La final pe un monitor, s-a afisat si un “Wall of Sheep” cu parolele sniffuite ale celor de s-au conectat pe wireless-ul pus la dispozitie de organizatori si foloseau chestii in clear text. Ocazie cu care am aflat ca mai sunt companii de folosesc POP3 nesecurizat si SMTP auth la fel de nesecurizat. Like, srsly? In 2014?