Hack in Paris 2014. Европейские приключения хакеров в Диснейленде

    Прочитал статью Dor1s о DEF CON CTF 22 и захотелось рассказать о своих летних приключениях на Hack in Paris. Думаю хабражителям будет интересно прочитать отчет об этом событие, тем более некоторые из нас на нем даже выступали. Занесло меня на HIP2014 совершенно случайно. Возвращаясь через Париж из деловой поездки, у меня образовался какой-то странный зазор перед отпуском. Стал гуглить, что серьезного проходит поблизости, и неожиданно наткнулся на эту конференцию. Увидел в списке участников парней вроде Винна Шварту (Winn Schwartau) и решил рвануть на этот европейский DEFCON. Билеты стоили довольно дорого, но не смертельно. Примерно 700€.

    Я, конечно, ожидал, что Диснейленд будет очень близко, но на самом деле от Hotel New York, где проходило мероприятие, до входа в этот пылесос для карманов родителей со всего мира было всего 4 минуты пешком.

    Забавно с серьезными специалистами кушать стейки с кровью и наблюдать, как в это время, напротив, очередная обоятельная девочка добивает уже сдавшуюся маму купить Микки-Мауса, больше ее (мамы) роста.

    Основные мысли из докладов…



    1. Уровень защиты сетей и контроллеров в производственном секторе нулевой (ICS/SCADA). То есть системы на серьезнейших предприятиях защищены так, что не могут быть вызовом даже для 12 летних детей с нормально работающей головой.
    2. Скоро даже утюги и кофеварки будут иметь широкополосный доступ в интернет. Именно тогда-то и начнется настоящий хаос. После этого у обычных пользователей появится значительно больше неприятностей. «Ваш холодильник заблокирован. Хотите утренний рассол — отправьте смс на короткий номер».
    3.Хотите более безопасной связи — доставайте бабушкины Nokia зари 90х.
    4.В Китае на черном рынке можно купить все, что угодно. Чертежи и технологии любой техники, производящейся на планете.
    5.Криптография эволюционирует, и на смену шифрованию приходят устойчивые алгоритмы нового типа.

    Ниже обо всем этом развернуто и подробно.

    Само мероприятие состояло из 3 частей. Неделя обучающих семинаров, два дня выступлений и сутки соревнований. День и ночь соревнований называются Nuit du Hack. Остальное — Hack in Paris.

    Выглядело все достаточно солидно. Выступали директора из огромных компаний, таких как Baidu.

    Было море культовых персонажей, с которыми можно было легко пообщаться и попить пивка. Были интереснейшие воркшопы с демонстрационными стендами, которые учили взламывать все от Android телефонов до беспилотников и заводов.



    Самые яркие выступления на мой вкус


    1. Вот и начинается интересное. Выступление дорогого Альваро Алехандро Сото (Alvaro Alexander Soto), в котором он рассказывает о самых современных технологиях восстановления данных, крупнейшей аппаратной уязвимости наших дней, а также о строительстве своей лаборатории для проведения экспертиз. Частотный анализ? Ага, а клетку Фарадея и разминирование микробомб, заложенных в сервере не хотите?

    Я думаю, что для специалистов по безопасности тут будет лишь пару новых моментов, а вот для CEO и технических директоров выступление будет просветляющим. И им сразу захочется еще что-нибудь вложить в безопасность компании. Для этого видео и стоит использовать.



    2. А тут блестящий Томас Ванг (Thomas Wang) из Baidu. Китайской компании с количеством юзеров больше, чем в Google. Прямо из самого пекла современного мобильного malware­строительства. Мне его выступление показалось важным, потому что он дает интересное видение одной из новых угроз в области пользовательской безопасности. Рассказывает о том, как они останавливают огромные эпидемии и всячески сыплет примерами из бурной личной жизни. В общем смотреть надо.



    Кстати, во время приватного разговора с ним, на одной закрытой коктейльной вечеринке, пришли к выводу, что львиную долю проблем можно решить прикрыв компании, которые предоставляют услуги процессинга платежей мошенникам. Я не буду тыкать пальцем. Мы и так их всех знаем.

    Тем не менее, в Китае все гораздо хитрее. Его лекция дает почувствовать вкус происходящего там беспредела.

    3. И, наконец, Паул Коггин про ICS/SCADA. Там про то, насколько уязвимы современные системы, работающие в промышленности. Общее ощущение, что уровень безопасности в этой области равносилен защите доверчивых дронтов, которых съели в XVIII веке.





    А что еще?



    Была интереснейшая история со швейцарской компанией Equivalence AG. Они бросили вызов участвовавшем в конференции хакерам и раздавали всем флаеры в виде 500€, с предложением вскрыть их архив.

    В какой-то момент мероприятие де-факто остановилось. Огромный зал вместе со спикерами уткнулся в свои ноутбуки, пытаясь разгадать секрет. Но их так никто и не взломал.

    Технология, по их словам, основна на новом принципе, который раньше не использовался. И они не используют шифрование.
    Я знаю парни во время Nui du Hack нашли и распотрошили патенты Equivalence AG, но и это не дало никаких результатов.



    Я уверен, что мероприятие не дотягивает по масштабу до DEFCON и DERBYCON, но было здорово. Еще понравилось, что всем дирижировала маленькая хрупкая мм… афрофранцуженка по имени Лайла. Не смотря на то, что мероприятие организовывали парни из Sysdreams, реальным руководителем мероприятия была она. Она просто носилась по огромному отелю из конца в конец, на бегу целуя кого-нибудь или отдавая поручения.


    Слева Джесс. (Jayson E. Street). Справа Лайла.

    В итоге я классно провел 4 дня. Научился вскрывать дверные замки на скорость. И пилотировал квадракоптер до ближайшей стены. Французская кухня и прекрасный местный воздух этому способствовали.

    Кстати, что вы думаете про ситуацию со SCADA?
    AdBlock has stolen the banner, but banners are not teeth — they will be back

    More
    Ads

    Comments 8

      +4
      Не рассказали про «5.Криптография эволюционирует, и на смену шифрованию приходят устойчивые алгоритмы нового типа.»
      Можно хотя бы вкратце?
        0
        Я действительно пропустил этот момент. Наверно сделаю отдельную статью по этой теме. Там очень много интересного. В одном абзаце не получится.
        +5
        > Была интереснейшая история со швейцарской компанией Equivalence AG. Они бросили вызов участвовавшем в конференции хакерам и раздавали всем флаеры в виде 500€, с предложением вскрыть их архив.

        Странно, что кто-то купился на это. Логика подсказывает, что получить эти деньги удастся только в одном из двух случаев.
        1) Это — игра, и защиту намеренно сделали такой, чтобы достаточно умный человек мог ее вскрыть.
        2) В алгоритме имеются настолько серьезные дыры, что даже не имея его исходников, человек с ноутбуком посреди конференции найдет експлоит. Если бы компания всерьез допускала такую возможность, то конкурса не было бы.

        Оба варианта были бы полным провалом для организатора, это — мощный негативный пиар. Следовательно, защита там на уровне. С таким же успехом они могли выдать всем зашифрованные DES контейнеры — и никто не успел бы вскрыть их за несколько часов и забрать приз. А уж если бы вместо DES использовали AES с 256-битным ключем, бояться вообще было бы не о чем. Кто вскроет, тот не станет палиться ради нескольких сотен евро.
          +1
          А, что SCADA. Возьмите иранские заводы по переработке урана и Stuxnet.
          Проблема то была только попасть на территорию завода, а дальше защиты не было.
            0
            Именно это меня и смущает. Пара-тройка невменяемых и у нас еще один Чернобыль на планете нарисуется…
              0
              Ну, а что делать. Почти все низкоуровневые связи комп — сеть контроллеров SCADA идут без безопасности by design.
              Когда все строили не думали о таких угрозах.
                +1
                Понимаете, дело даже не в том, что старые системы устарели относительно новых угроз и возможно их пора менять. Дело в том, что безопасность на заводах, которые сейчас только проектируются планируется на таком же уровне. Это именно глупость. Дырка на стене, которую мы привыкли не замечать. Девелоперы об этом даже думать не хотят. Я специально созвонился с некоторыми близкими родственниками, которые как раз занимаются проектированием и строительством современных заводов. Они формально считаются суперпрофессионалами в своем регионе Европы. Мои вопросы были очень простые, по мотивам доклада Паула. «Что бы вы делали в этом случае…, а в этом…?» И я увидел, что они даже не задумываются о таких вещах. Какая нафик информационная безопасность? По сути я показал им, как я могу перегрузить определенные системы их завода и сжечь за один вечер, и только тогда вроде что-то щелкнуло. Но поймите они не готовы. Они живут в позапрошлом десятилетие в самом лучшем случае.
                  0
                  Согласен с вами. Тут еще и обучение тормозит.
                  Сейчас самое современные технологии внедряются скорее не на заводах, а в датацентрах, где TIER обязывает.

                  П.С.
                  на самом деле было бы интересно получить инсайд с современного завода intel, о том как там у них с этим делом устроено

          Only users with full accounts can post comments. Log in, please.