ZeroNights 2017: как это было
Седьмая ежегодная конференция по кибербезопасности прошла в московском Культурном центре ЗИЛ
Мероприятие, организаторское ядро которого изначально составляли четыре человека из компании Digital Security — Александр Поляков, Илья Медведовский, Алексей Синцов, и Дмитрий Евдокимов, за несколько лет приобрело обширное комьюнити практиков, специализирующихся на анализе защищённости ИТ-систем и исследованиях в области информационной безопасности.
Церемония открытия
Особую товарищескую атмосферу свободного обмена опытом и знаниями, с самого начала, задала церемония открытия, где участников, под музыку с Retrowave Radio, поприветствовали ребята из вполне себе конкурирующих (в миру́) технологических компаний (Лаборатория Касперского, Trend Micro, Google, Amazon, Microsoft, Mail.ru, Opera). Начал её глава службы информационной безопасности Яндекса Антон Карпов. Он же пригласил на сцену директора по безопасности встраиваемых систем в NVIDIA Алекса Матросова и других спикеров. Оживила зал прозвучавшая шутка о “легендарных русских хакерах”.
В этом году мероприятие посетило более 2300 человек. На конференции были представлены доклады более 60 спикеров из 9 стран мира (Россия, Аргентина, США, Германия, Канада, Китай, Великобритания, Сингапур, Израиль). В числе докладчиков — эксперты в области ИБ, аналитики, программисты, хакеры, реверс-инженеры.
В частности, среди спикеров ивента были такие известные специалисты, как, Шей Герон, Джейис Форшоу, Алексей Тюрин, Идо Наор, Максвел Кох и другие. Ознакомиться с биографиями спикеров, а также детально изучить описание выступлений можно на официальном сайте ZeroNights.
Доклады
Первым, с докладом, выступил Томас Даллиен из Google, поделившись своим личным наблюдением о том, что не весь хайп об искусственном интеллекте является чушью, хоть и сложно отсеять порождённые всеобщим ажиотажем заблуждения и мифы.
Томас рассказал об идее использовать машинное обучение для защиты конфиденциальной информации путём создания правдоподобного цифрового мусора, среди которого сложно будет отличить реальные данные, даже если информационная система компании будет взломана и весь массив данных похищен злоумышленником.
Аналогичную практику, ранее, “в бумажном мире”, активно использовали, например, спецслужбы, подменяя документы и тем самым дезинформируя противника. Но в электронных информационных системах подмену осуществить сложно — слишком много метаданных, простейший анализ которых её вскроет, формируется в процессе работы. Машинное обучение может помочь решить эту задачу.
Далее, докладчики были разделены на секции.
Об уязвимостях роботов рассказал Лукас Апа из IOActive. Его команда обнаружила критические уязвимости в популярных бытовых и промышленных роботах.
Лукас посетовал, что роботы значительно менее защищены, чем компьютерные системы, базирующихся в дата центах, так как имеют интерфейсы подключения, доступные пользователям. К ним легко физически подключиться на месте. И несмотря на это, маркетинг одержал победу над защищенностью — на сегодняшний день, реальная аутентификация при подключении отсутствует, её можно ее легко обойти прямо из браузера. Так как информация о выявленных уязвимостях была своевременно передана разработчикам, то исследователь продемонстрировал код в живую.
Исследователи Digital Security представили в рамках основной программы три доклада. Алексей Перцев и Егор Карбутов, пентестеры Digital Security, выступили с темой “Чат с хакером”. Они поделились с гостями конференции своим опытом и объяснили, как онлайн-чаты поддержки могут расширить поверхность атаки на компанию, её сотрудников, клиентов и даже самого вендора чатов.
Алексей Перцев рассказал о том, как смарт-контракты, ICO и DAO выглядят глазами атакующего и куда он может приложить свои усилия для получения выгоды. Он выступил с докладом “DAO for penetration testers”. Алексей рассмотрел типовые уязвимости в смарт-контрактах, рассказал, почему они возникают, и как их избежать.
И, наконец, Алексей Тюрин, директор департамента аудита защищенности Digital Security, представил доклад “Другой взгляд на MitM-атаки на HTTPS”. Несмотря на то, что основная цель TLS/HTTPS — защита от MitM-атак, с помощью различных трюков возможно проводить успешные атаки такого типа на данный протокол. Как? Алексей рассказал в своем выступлении.
“Чтобы обезопасить себя от атак с использованием сигнальных сетей ОКС-7 (SS-7) (привет, МТС), достаточно отключить услуги роуминга в личном кабинете любого сотового оператора”, рассказал Александр Ермаков.
Активности
В дни проведения ZeroNight компания Mail.RU удвоила вознаграждение для участников своей Bug Bounty программы по поиску уязвимостей. В рамках конференции также были реализованы различные активности: многоступенчатый хакерский Квест Hack Go, соревнования CTF, конкурсы на взлом и на сообразительность от Mail.ru, BI.Zone, Web Village, Hardware Zone. Победители конкурсов получили призы. Участники могли делать виртуальные ставки через Telegram-бот.
На ZeroNights впервые была представлена секция Web Village, где можно узнать о современных атаках на веб-приложения, попробовать себя в роли атакующего, выяснить, как работает современный веб и поучаствовать в конкурсах. Первый день был полностью посвящен атакам на клиентов веб-приложений (Client-side), в рамках второго дня обсуждались атаки на серверную часть (Server-side).
Любителей железа порадовала Hardware Zone. В течение обоих дней конференции ZeroNights здесь говорили про атаки на различные беспроводные технологии, от простейших радиопротоколов до платежных систем, низкоуровневые атаки и техники blackbox-анализа встраиваемых устройств, не осталась в стороне и промышленная автоматика. Команда CarPWN погрузила нас в мир ИБ автомобилей. Здесь можно было ознакомиться с базовыми вопросами безопасности автомобильных технологий, включая self-driving car и connected-car.
Деятельность Meta (соцсети Facebook и Instagram) запрещена в России как экстремистская.